Ecosystem	Package	Version

Vulnerabilities

sonatype-2026-000438

sonatype-2026-000438

Malicious Packages - Mon Feb 16 2026 [Lazarus] [Dropper]

Published Feb 16, 2026

https://help.sonatype.com/en/sonatype-malware-data.html https://osv-vulnerabilities.storage.googleapis.com/npm/MAL-2026-1016.json

CVSS ScoreHigh

8.7

Ecosystem	Package	Version


npm	charswap	7.2.7
npm	dotjsenv	1.1.7
npm	dotnetenv	1.1.7
npm	js-coauth	7.2.7
npm	js-copack	1.1.7
npm	js-copack	1.1.8
npm	js-copack	7.2.7
npm	js-cotype	4.1.4
npm	js-multer	0.0.1-security
npm	js-multer	5.1.7
npm	js-nodecat	1.0.7
npm	js-repack	5.1.0
npm	js-unpack	1.1.7
npm	js-unpack	1.1.8
npm	js-uponcaps	7.2.7
npm	json-getin	7.2.7
npm	json-oauth	7.2.7
npm	json-prop	2.0.7
npm	json-ptype	1.1.7
npm	json-swap	7.2.7
npm	jsonauth	7.2.7
npm	jsonauthcap	7.2.7
npm	jsonauto	5.1.0
npm	jsoncap	5.1.0
npm	jsonrecap	3.1.8
npm	jsonretype	7.2.7
npm	jsonretype	7.2.8
npm	jsonretype	7.2.9
npm	jsonucap	5.1.0
npm	jsonupon	7.2.7
npm	jsonupper	5.1.0
npm	jsonwebauth	1.1.7
npm	jsswapper	7.2.7
npm	jstoauto	5.1.0
npm	jsxswap	7.2.7
npm	jwt-pack	1.1.7
npm	jwt-prop	2.0.7
npm	jwtdotenv	7.2.7
npm	jwtenv	1.1.7
npm	ncodeauth	1.1.7
npm	ncodeauth	1.1.8
npm	nodemon-pkg	5.1.1
npm	nodemon-pkg	5.1.2
npm	react-ipack	5.1.0

sonatype-2026-000438 | Components Impacted | Sonatype Guide | Sonatype Guide