CVE-2026-45321 in arktype-adapter
Sumário
de VulDB • 12/05/2026
Em 11/05/2026, entre aproximadamente 19:20 e 19:26 UTC, 84 versões maliciosas em 42 pacotes @tanstack/* foram publicadas no registro npm. As publicações foram autenticadas por meio da vinculação legítima de trusted-publisher OIDC do GitHub Actions para o TanStack/router, mas o fluxo de trabalho de publicação (publish workflow) em si não foi modificado. O atacante encadeou três classes de vulnerabilidade conhecidas — uma configuração incorreta de pull_request_target "Pwn Request", envenenamento de cache do GitHub Actions através do limite de confiança fork↔base e extração em tempo real de memória do token OIDC do processo do runner do Actions — para publicar malware que rouba credenciais sob uma identidade confiável. Cada pacote afetado recebeu exatamente duas versões maliciosas, publicadas com alguns minutos de intervalo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.