p PatchFirst

CVE-2025-59037

CVE-2025-59037 · DuckDB NPM packages 1.3.3 and 1.29.2 briefly compromised with malware

CVSS 8.6 · Высокий · EPSS 0,4% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls duckdb
npm ls @duckdb/node-api
npm ls @duckdb/node-bindings

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания duckdb-node и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

DuckDB is an analytical in-process SQL database management system. On 08 September 2025, the DuckDB distribution for Node.js on npm was compromised with malware (along with several other packages). An attacker published new versions of four of DuckDB's packages that included malicious code to interfere with cryptocoin transactions* According to the npm statistics, nobody has downloaded these packages before they were deprecated. The packages and versions `@duckdb/node-api@1.3.3`, `@duckdb/node-bindings@1.3.3`, `duckdb@1.3.3`, and `@duckdb/duckdb-wasm@1.29.2` were affected. DuckDB immediately deprecated the specific versions, engaged npm support to delete the affected verions, and re-released the node packages with higher version numbers (1.3.4/1.30.0). Users may upgrade to versions 1.3.4, 1.30.0, or a higher version to protect themselves. As a workaround, they may also downgrade to 1.3.2 or 1.29.1.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • duckdb-node

    Версии
    • = 1.3.3: Затронуто
    • = 1.29.2: Затронуто

    Нет опубликованного исправления

  • duckdb npm

    Версии
    • 1.3.3
    Затронутые диапазоны версий
    • SEMVER: ≥ 1.3.3, < 1.3.4

    Обновитесь до 1.3.4

  • @duckdb/node-api npm

    Версии
    • 1.3.3
    Затронутые диапазоны версий
    • SEMVER: ≥ 1.3.3, < 1.3.4-alpha.27

    Обновитесь до 1.3.4-alpha.27

  • @duckdb/node-bindings npm

    Версии
    • 1.3.3
    Затронутые диапазоны версий
    • SEMVER: ≥ 1.3.3, < 1.3.4-alpha.27

    Обновитесь до 1.3.4-alpha.27

  • @duckdb/duckdb-wasm npm

    Версии
    • 1.29.2
    Затронутые диапазоны версий
    • SEMVER: ≥ 1.29.2, < 1.30.0

    Обновитесь до 1.30.0

Первоисточники

Проверьте свой сервер →