Vulnerabilidad en use-context-selector de dai-shi (CVE-2026-48158)

use-context-selector es un hook de React useContextSelector en el espacio de usuario. Entre el 18-05-2026 15:57:18 y el 19-05-2026 15:24:34, la rama predeterminada contenía commits maliciosos 9d8481a513b7b0d1c0941b220c69b25de748641b hasta 6f2dae054ca014068bdbbb4db96006424d674124 que ejecutaban código remoto controlado por el atacante en máquinas de desarrolladores durante ’npm install’. Los commits fueron eliminados mediante un ’force-push’, pero los clones locales, las bifurcaciones y las URL de SHA directas aún pueden contenerlos, y ’npm install’ contra una copia afectada aún ejecutará el código hoy. El paquete no fue publicado en npm. ’src/install.js’ fue añadido y conectado al script ’postinstall’. Recuperó una carga útil de JavaScript de un punto final HTTPS controlado por el atacante (configurable mediante una variable de entorno), deshabilitó la verificación TLS y evaluó la respuesta como código con ’require’ disponible. La ejecución fue omitida deliberadamente en entornos de CI y de nube/sin servidor, apuntando a estaciones de trabajo de desarrolladores. La carga útil de segunda etapa fue alojada por el atacante y no puede ser reconstruida. Asuma un compromiso total de cualquier cosa accesible desde un proceso de Node con los permisos del usuario. Aquellos que ejecutaron ’npm install’ contra una copia afectada en una máquina de desarrollador el o después del 18-05-2026 15:57:18 deben tratar la máquina como comprometida, rotar cada credencial a la que la máquina pudo acceder, auditar la actividad de la cuenta desde el 18-05-2026 15:57:18, y limpiar los clones locales.