Compromission de la chaîne d'approvisionnement du package npm Cline

Titre	Compromission de la chaîne d'approvisionnement du package npm Cline
Numéro de Référence	Numéro de Référence 61342302/26
Date de publication	Date de publication 23 février 2026
Niveau de Risque	Niveau de Risque Critique
Niveau d'Impact	Niveau d'Impact Critique

Systèmes affectés:

Cline CLI (via npm) version antérieure à 2.4.0 ;

Identificateurs externes:

GHSA-9ppg-jx86-fqw7;

Bilan de la vulnérabilité:

Une compromission de la chaîne d'approvisionnement (Supply Chain Attack) a été corrigée dans l'outil « Cline CLI ». Un attaquant a utilisé un jeton de publication compromis pour injecter un script "postinstall" non autorisé. L'installation de la version infectée entraîne l'installation automatique et globale du package tiers « openclaw » sur le système de l'utilisateur.

Les utilisateurs ayant installé ou mis à jour Cline en ligne de commande le 17 février 2026 (entre 11h26 et 19h30 GMT environ) ont probablement installé le package tiers openclaw de manière automatisée et non sollicitée sur leur système.

Solution:

Veuillez mettre à jour Cline CLI vers la version v2.4.0 ou supérieure via la commande « npm install -g cline@latest ». Il est également recommandé de désinstaller manuellement le package non sollicité avec « npm uninstall -g openclaw ».

Risque:

Exécution de code non autorisé ;
Porter atteinte à la confidentialité des données ;

Référence:

Bulletin de sécurité Cline:

https://github.com/cline/cline/security/advisories/GHSA-9ppg-jx86-fqw7

Brochure:

Compromission de la chaîne d'approvisionnement du package npm Cline.pdf