CVE-2026-45321
Crítica · 9.6
KEV Urgente · 71 Exploit público Ransomware CWE-506 11/05/2026
Comprometimento da cadeia de suprimentos dos pacotes npm TanStack via falha de CI
Em 2026-05-11, entre aproximadamente 19:20 e 19:26 UTC, 84 versões maliciosas de 42 pacotes @tanstack/* foram publicadas no registro npm. As publicações foram autenticadas pela vinculação legítima de publicador confiável do GitHub Actions OIDC para TanStack/router, mas o fluxo de publicação em si não foi modificado. O atacante encadeou três classes de vulnerabilidades conhecidas — uma configuração incorreta de pull_request_target do tipo Pwn Request, envenenamento de cache do GitHub Actions através da fronteira de confiança fork↔base, e extração em tempo de execução, na memória do processo do runner do Actions, do token OIDC — para publicar malware de roubo de credenciais sob uma identidade confiável. Cada pacote afetado recebeu exatamente duas versões maliciosas, publicadas com poucos minutos de diferença.