CVE-2026-45321 in arktype-adapter
Zusammenfassung
von VulDB • 12.05.2026
Am 11.05.2026, zwischen ca. 19:20 und 19:26 UTC, wurden 84 bösartige Versionen von 42 @tanstack/*-Paketen im npm-Registry veröffentlicht. Die Veröffentlichungen wurden über die legitime GitHub Actions OIDC trusted-publisher-Bindung für TanStack/router authentifiziert, wobei der Veröffentlichungs-Workflow selbst nicht geändert wurde. Der Angreifer verknüpfte drei bekannte Schwachstellenklassen – eine Fehlkonfiguration von pull_request_target „Pwn Request“, GitHub Actions Cache Poisoning über die Vertrauensgrenze zwischen Fork und Base sowie die Extraktion von Laufzeitdaten aus dem Arbeitsspeicher des OIDC-Tokens aus dem Actions-Läuferprozess –, um malware mit Diebstahlfunktionen für Anmeldeinformationen unter einer vertrauenswürdigen Identität zu veröffentlichen. Jedes betroffene Paket erhielt genau zwei bösartige Versionen, die wenige Minuten voneinander entfernt veröffentlicht wurden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.