@tan_stack: 安全公告 —— TanStack npm 包遭遇供应链攻击，影响 42 个 @tanstack/* 包（共 84 个版本……

X AI KOLs Following 新闻
security-advisory supply-chain-attack npm tanstack javascript credential-theft malware

摘要

一次高危供应链攻击影响了 42 个 TanStack npm 包，导致云凭证和 SSH 密钥被窃取。建议用户在攻击时间窗口内安装过相关包的，立即轮换凭证并从干净的 lockfile 重新安装。

安全公告 —— TanStack npm 包 今天早些时候 UTC 时间约 19:20 和 19:26，npm 上发布了影响 42 个 @tanstack/* 包（共 84 个版本）的供应链攻击。每个包包含两个恶意版本。 当前状态：ACTIVE —— 这些包已被弃用，npm 安全团队已介入，发布路径正在被关闭。 严重级别：HIGH —— 恶意负载会窃取 AWS、GCP、Kubernetes 和 Vault 凭证、GitHub Token、.npmrc 内容以及 SSH 密钥。 如果你在今天 UTC 时间 19:20 至 19:30 之间安装了任何 @tanstack/* 包，请将该主机视为可能已受感染： • 立即轮换云、GitHub 和 SSH 凭证 • 审查过去几小时内的云审计日志 • 锁定到一个此前已知的安全版本，并从干净的 lockfile 重新安装 检测方法 —— 恶意 manifest 中包含： "optionalDependencies": { "@tanstack/setup": "github:tanstack/router#79ac49ee..." } 任何包含此条目的版本均为受感染版本。恶意负载通过一个 git 解析的 optionalDependency 交付，其 prepare 脚本会运行 router_init.js（约 2.3 MB，被植入每个 tarball 的包根目录）。 由于存在第三方依赖，npm 策略阻止了大多数受影响包的撤架操作。所有 84 个版本均被标记为弃用并附有 SECURITY 警告，npm 安全团队已介入在注册表层面移除相关 tarball。 完整技术细节、受影响的包和版本列表以及持续的状态更新请访问：https://github.com/TanStack/router/issues/7383… 感谢安全研究人员负责任地披露此漏洞。
查看原文 导出为 Word 导出为 PDF
查看缓存全文

缓存时间: 2026/05/12 02:46

我们正寻找 TanStack Router & Start 合作伙伴加入我们的使命！与我们合作，突破 TanStack Router & Start 的边界，共同构建卓越成果。

相似文章

事故复盘：TanStack npm 供应链入侵事件

Lobsters Hottest

本文详细复盘了针对 TanStack npm 包的供应链攻击事件，涉及缓存投毒、OIDC 令牌提取及凭证窃取恶意软件。所有受影响版本均已弃用；建议用户轮换凭证。

TanStack NPM 软件包遭入侵

Hacker News Top

报告显示 TanStack NPM 软件包存在安全漏洞，波及使用 TanStack Router 和 Start 框架的开发人员。

@AYi_AInotes: Damn，Theo今天这条警告，看得我一身冷汗 他说，希望你们明白，这事儿只会越来越糟， 因为现在正在爆发的Mini Shai-Hulud供应链攻击， 已经从TanStack扩散到UiPath、Mistral AI相关包， 总计205个制…

X AI KOLs Timeline

本文警告了正在爆发的Mini Shai-Hulud供应链攻击，攻击已从TanStack扩散到UiPath、Mistral AI等，共205个制品被毒化。攻击者通过CI/CD缓存投毒，恶意包拥有合法签名和provenance，传统安全手段失效，且AI加速了攻击速度，开发者的AI工具成为寄生目标。