CVE-2026-45321

Nome do Software Vulnerável e Versões Afetadas Pacotes @tanstack/* (versões afetadas não especificadas)

Descrição Um invasor publicou 84 versões maliciosas em 42 pacotes @tanstack/* no registro npm. O ataque foi executado encadeando uma configuração incorreta de pull request target, envenenamento de cache do GitHub Actions e extração de token OIDC da memória do processo do executor do Actions para publicar malware sob uma identidade confiável. Isso resultou na distribuição de um worm de roubo de credenciais autopropagável.

Durante a instalação, o malware executa um arquivo JavaScript ofuscado chamado router init.js (aproximadamente 2,3 MB) localizado na raiz do pacote. Esta carga útil coleta dados sensíveis de metadados de instâncias AWS (IMDS), serviços de metadados GCP, tokens de conta de serviço Kubernetes, tokens do HashiCorp Vault, tokens npm em ~/.npmrc, tokens do GitHub e chaves privadas SSH. Os dados roubados são exfiltrados via rede do mensageiro Session/Oxen usando endpoints como filev2.getsession.org e seed{1,2,3}.getsession.org.

Além disso, o worm pode estabelecer persistência no Claude Code e no Microsoft Visual Studio Code (VS Code), instalar um serviço gh-token-monitor para roubar tokens do GitHub e implantar fluxos de trabalho do GitHub Actions maliciosos para exfiltrar segredos de repositórios para api.masscan.cloud. Ele também tenta se propagar identificando outros pacotes mantidos pela vítima e republicando-os com a mesma injeção. Estima-se que dezenas de milhares de sistemas tenham sido comprometidos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Fixar cada dependência @tanstack/* em uma versão conhecida e segura publicada antes de 11-05-2026 às 19:00 UTC.

Excluir a pasta node modules e o arquivo lockfile, e então reinstalar para garantir que nenhuma dependência transitiva resolva para uma versão maliciosa.

Configurar o npm para ignorar scripts de ciclo de vida na instalação usando npm config set ignore-scripts true como uma medida temporária de defesa em profundidade.

Verificar a autenticidade dos pacotes npm antes da instalação.

Rotacionar todas as credenciais, segredos e tokens acessíveis a qualquer desenvolvedor ou ambiente de CI que tenha realizado a instalação de pacotes @tanstack/* em 11-05-2026.