CVE-2026-45321 - TanStack Unspecified Vulnerability
CVE-2026-45321 影响 TanStack npm 包，属于未指定的供应链投毒漏洞，攻击者可发布恶意版本窃取开发者凭证。漏洞可能导致大规模数据泄露和后续攻击。本文提供深度技术分析、攻击场景、检测方法和完整修复指南。
CVE-2026-45321 - TanStack Unspecified Vulnerability
📋 漏洞概述
TanStack npm包遭供应链投毒，攻击者利用未指定漏洞发布恶意版本窃取凭证。
📋 基础信息
| 受影响版本 | TanStack TanStack (npm package) – 所有可能受影响的版本，具体版本区间未公开 |
| 漏洞类型 | 供应链投毒 / 身份验证不当 / 包发布机制缺陷 |
| CVSS | 9.8 · Critical |
| CVE | CVE-2026-45321 |
🔬 漏洞根因
根据公开信息推断，漏洞可能源于npm包的发布-维护流程中存在身份验证或访问控制缺陷，导致攻击者能够绕过正常发布权限检查，以合法维护者的身份向npm注册表推送恶意版本。具体缺陷可能包括：API密钥泄露、OAuth令牌绕过、组织账户二次验证失效，或npm镜像同步策略中的校验漏洞。由于TanStack是一个广泛使用的前端库，攻击者利用了信任链的弱点植入窃密代码。
🎯 攻击场景
1. 前提条件：攻击者获取了TanStack维护者的npm凭证或利用了npm发布管道中的权限验证绕过漏洞。 2. 攻击者构造一个包含凭证窃取恶意代码（如读取~/.npmrc、环境变量中的token、git凭据等）的npm包版本。 3. 攻击者将该恶意版本以合法维护者的身份发布到npm注册表（可能通过API直接推送，或劫持CI/CD流水线）。 4. 下游开发者通过npm install或依赖解析自动下载该恶意版本，在构建或运行时触发恶意代码执行。 5. 成功标志：攻击者从开发者环境中窃取npm令牌、云服务凭据、数据库密码等敏感信息，并可能用于后续横向渗透。
💥 漏洞影响
攻击者能够以受信任的维护者身份向全球开发者分发恶意npm包，导致大规模供应链攻击。成功利用后，攻击者可窃取开发者的npm令牌、云服务凭证、源代码仓库访问密钥等敏感信息，进而危害使用TanStack的所有下游系统，可能导致远程代码执行、数据泄露、后续供应链投毒链的扩大。影响范围涵盖前端开发、全栈应用及依赖该库的数千个项目。
🛡️ 修复建议
1. 立即升级TanStack至不受影响的版本（等待官方公告，临时禁用自动更新）。 2. 在npm客户端启用2FA验证并审查已安装的TanStack版本哈希值。 3. 扫描本地和CI环境中的npm缓存，确认未安装可疑版本。 4. 旋转所有可能已暴露的npm令牌、CI变量和云服务凭证。 5. 临时缓解措施：在package.json中锁定合法版本号，并在安装时启用完整性校验。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-45321
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-45321
- 原始来源（CISA-KEV）
🚨 威胁评估
| 📈 EPSS 利用概率 | 低 (0.0%) (高于 8.1% 的漏洞) |
| 🚨 CISA KEV | 🚨 已被积极利用 |
| 🔧 公开 PoC | 11 个公开 PoC 仓库 |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-28 08:07 | 来源: CISA-KEV
🤖 常见问题解答（FAQ）
❓ 如何检测项目中是否安装了恶意TanStack版本？
通过npm audit --json检查包完整性，对比官方发布的合法版本哈希；在node_modules/tanstack/package.json中查看version字段，并与官方安全公告中的黑名单版本比对。
❓ 此漏洞是否会波及已部署的生产环境？
若生产环境使用了包含恶意代码的TanStack版本（如未锁定版本号/自动更新），则可能触发凭证窃取；需检查CI/CD构建产物中是否嵌入了该包，并审查日志中的异常网络外连。
❓ 是否可以通过重装npm包来彻底清除威胁？
重装前必须确保安装源为官方合法版本，并清理npm缓存（npm cache clean --force）；同时须立即更换所有可能被窃取的凭据，因为恶意代码可能已外传数据。