# TanStack 被 npm 供应链攻击，影响窗口约 20 分钟

Source: https://www.zaihua.news/article/41335/

[返回新闻流](https://www.zaihua.news/)
2026年5月12日 · 11:00 · [在花新闻](https://www.zaihua.news/about/)

# TanStack 被 npm 供应链攻击，影响窗口约 20 分钟

2026-05-11 19:20 至 19:26 UTC，攻击者向 42 个 @ tanstack/* npm 包发布 84 个恶意版本。攻击链结合 pull_request_target“Pwn Request”、GitHub Actions 缓存投毒和从 runner 内存提取 OIDC token；npm token 未被盗，发布流程本身未被攻破。

恶意版本约 20 分钟内被外部研究员发现，已全部废弃，TanStack 已联系 npm 安全团队移除 tarball。当天安装过受影响版本的用户应将安装主机视为可能被入侵，并轮换相关云、Kubernetes、Vault、GitHub、npm 和 SSH 凭据。

[TanStack Blog](https://tanstack.com/blog/npm-supply-chain-compromise-postmortem)

via RT Time

🌸 [在花频道](http://t.me/ZaiHuaPd) · [茶馆讨论](https://t.me/zaihuaSpace) · [投稿通道](http://t.me/ZaiHuabot)

[上一条因缺少油墨“失色”：日本卡乐比部分薯片官宣将临时改为黑白简易包装](https://www.zaihua.news/article/41334/)[下一条韩国高官提议设立 AI 全民分红：半导体超额利润应反哺社会](https://www.zaihua.news/article/41336/)