CVE.futuretools
FAQ
NVD NIST
CVE-2026-45321CISA KEV · АКТИВНО В АТАКАХ

Malware in 42 @tanstack/* packages exfiltrates cloud credentials, GitHub tokens, and SSH keys

CVSS 3.1Critical
9.6/ 10.0
Опубликовано
Обновлено
В атаках
Подтверждено CISA
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.166.16, 1.161.13, 0.0.8, 1.154.16, 1.169.9, 1.166.20, 1.166.19, 1.167.72, 1.166.55, 0.0.51, 1.166.59, 1.166.50, 1.167.10, 1.166.49, 1.167.42, 1.168.7, 1.161.15, 1.166.57, 1.167.69, 1.166.54, 1.166.58, 1.168.9, 1.169.27, 1.167.37, 1.166.48, 1.166.42, 1.161.14, 1.167.65
Отозвать скомпрометированные секреты, удалить вредоносные релизы из npm и обновить пакеты @tanstack/* до доверенных версий.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Компрометация цепочки поставок 42 пакетов @tanstack/* через перехват OIDC-токена в GitHub Actions. Опубликованы вредоносные релизы для кражи секретов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Атакующий связал три вектора: уязвимость pull_request_target (Pwn Request), отравление кэша Actions между форком и базовым репозиторием, а также извлечение OIDC-токена публикации из памяти процесса раннера. Вредоносный код был подписан доверенным издателем.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Утечка облачных учетных данных, токенов GitHub и приватных SSH-ключей из сред сборки и хостов разработчиков, установивших скомпрометированные версии.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——
>= 1.166.12➔Fix: 1.166.16
——
>= 1.161.9➔Fix: 1.161.13
——
>= 0.0.4➔Fix: 0.0.8
——
>= 1.161.9➔Fix: 1.161.13
——
>= 1.154.12➔Fix: 1.154.16
——
>= 1.169.5➔Fix: 1.169.9
——
>= 1.166.16➔Fix: 1.166.20
——
>= 1.166.15➔Fix: 1.166.19
——
>= 1.167.68➔Fix: 1.167.72
——
>= 1.166.51➔Fix: 1.166.55
——
>= 0.0.47➔Fix: 0.0.51
——
>= 1.166.55➔Fix: 1.166.59
——
>= 1.166.46➔Fix: 1.166.50
——
>= 1.169.5➔Fix: 1.169.9
——
>= 1.166.16➔Fix: 1.166.20
——
>= 1.167.6➔Fix: 1.167.10
——
>= 1.166.45➔Fix: 1.166.49
——
>= 1.167.38➔Fix: 1.167.42
——
>= 1.168.3➔Fix: 1.168.7
——
>= 1.161.11➔Fix: 1.161.15
——
>= 1.166.53➔Fix: 1.166.57
——
>= 1.169.5➔Fix: 1.169.9
——
>= 1.166.16➔Fix: 1.166.20
——
>= 1.166.15➔Fix: 1.166.19
——
>= 1.167.65➔Fix: 1.167.69
——
>= 1.166.50➔Fix: 1.166.54
——
>= 1.166.54➔Fix: 1.166.58
——
>= 1.168.5➔Fix: 1.168.9
——
>= 1.161.9➔Fix: 1.161.13
——
>= 1.169.23➔Fix: 1.169.27
——
>= 1.167.33➔Fix: 1.167.37
——
>= 1.166.44➔Fix: 1.166.48
——
>= 1.166.38➔Fix: 1.166.42
——
>= 1.166.12➔Fix: 1.166.16
——
>= 1.161.10➔Fix: 1.161.14
——
>= 1.169.5➔Fix: 1.169.9
——
>= 1.166.16➔Fix: 1.166.20
——
>= 1.166.15➔Fix: 1.166.19
——
>= 1.167.61➔Fix: 1.167.65
——
>= 1.166.46➔Fix: 1.166.50
——
>= 1.166.50➔Fix: 1.166.54
——
>= 1.166.12➔Fix: 1.166.16
——
>= 1.166.15➔Fix: 1.166.16
——
>= 1.161.12➔Fix: 1.161.13
——
>= 0.0.7➔Fix: 0.0.8
——
>= 1.161.12➔Fix: 1.161.13
——
>= 1.154.15➔Fix: 1.154.16
——
>= 1.169.8➔Fix: 1.169.9
——
>= 1.166.19➔Fix: 1.166.20
——
>= 1.166.18➔Fix: 1.166.19
——
>= 1.167.71➔Fix: 1.167.72
——
>= 1.166.54➔Fix: 1.166.55
——
>= 0.0.50➔Fix: 0.0.51
——
>= 1.166.58➔Fix: 1.166.59
——
>= 1.166.49➔Fix: 1.166.50
——
>= 1.169.8➔Fix: 1.169.9
——
>= 1.166.19➔Fix: 1.166.20
——
>= 1.167.9➔Fix: 1.167.10
——
>= 1.166.48➔Fix: 1.166.49
——
>= 1.167.41➔Fix: 1.167.42
——
>= 1.168.6➔Fix: 1.168.7
——
>= 1.161.14➔Fix: 1.161.15
——
>= 1.166.56➔Fix: 1.166.57
——
>= 1.169.8➔Fix: 1.169.9
——
>= 1.166.19➔Fix: 1.166.20
——
>= 1.166.18➔Fix: 1.166.19
——
>= 1.167.68➔Fix: 1.167.69
——
>= 1.166.53➔Fix: 1.166.54
——
>= 1.166.57➔Fix: 1.166.58
——
>= 1.168.8➔Fix: 1.168.9
——
>= 1.161.12➔Fix: 1.161.13
——
>= 1.169.26➔Fix: 1.169.27
——
>= 1.167.36➔Fix: 1.167.37
——
>= 1.166.47➔Fix: 1.166.48
——
>= 1.166.41➔Fix: 1.166.42
——
>= 1.166.15➔Fix: 1.166.16
——
>= 1.161.13➔Fix: 1.161.14
——
>= 1.169.8➔Fix: 1.169.9
——
>= 1.166.19➔Fix: 1.166.20
——
>= 1.166.18➔Fix: 1.166.19
——
>= 1.167.64➔Fix: 1.167.65
——
>= 1.166.49➔Fix: 1.166.50
——
>= 1.166.53➔Fix: 1.166.54
——
>= 1.166.15➔Fix: 1.166.16

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-45321: Malware in 42 @tanstack/* packages exfiltrates cloud credentials, GitHub tokens, and SSH keys. URL: https://cve.futuretools.ru/cve/CVE-2026-45321
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_45321,
  title = {{CVE-2026-45321: Malware in 42 @tanstack/* packages exfiltrates cloud credentials, GitHub tokens, and SSH keys}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-45321}},
  note = {Оперативный инженерный анализ киберугроз}
}