- Aktif istismar
- CWE-506
CVE-2026-45321
@tanstack/* npm paketlerinde kimlik bilgisi çalan zararlı yazılım (tedarik zinciri)
@tanstack arktype-adapter@tanstack eslint-plugin-router@tanstack eslint-plugin-start
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 169 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Yaygın kullanılan bir yazılım kütüphanesinin zararlı sürümleri yayımlandı ve bunları kuran bilgisayarlardan şirket parolaları ile erişim anahtarları çalınabiliyor. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler listesine alındığı için acil müdahale gerekir. Etkilenen sürümler kullanıldıysa tüm gizli anahtarların derhal yenilenmesi önerilir.
ÖzetTürkçe
11 Mayıs 2026'da, TanStack/router deposunun meşru GitHub Actions OIDC güvenilir yayıncı bağlantısı üzerinden 42 @tanstack/* paketinin 84 zararlı sürümü npm kayıt defterinde yayımlandı. Saldırgan; pull_request_target yanlış yapılandırması ("Pwn Request"), fork ile ana depo arasındaki güven sınırında GitHub Actions önbellek zehirlemesi ve OIDC belirtecinin çalışma zamanında bellekten çıkarılması yöntemlerini zincirleyerek bunu başardı. Her etkilenen pakette birkaç dakika arayla yayımlanmış tam olarak iki zararlı sürüm bulunuyor. Etkilenen sürümler arasında react-router, router-core, react-start, router-plugin ve history gibi paketlerin belirli sürümleri yer alıyor; bu sürümleri yükleyen geliştirici makineleri ve CI/CD ortamları risk altındadır.
Saldırgan ne yapabilir?
Zararlı sürümleri yükleyen sistemlerde bulut kimlik bilgileri, GitHub belirteçleri ve SSH anahtarları çalınabilir. Bu da saldırganın bulut hesaplarına, kaynak kod depolarına ve sunuculara yetkisiz erişim kazanmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
On 2026-05-11, between approximately 19:20 and 19:26 UTC, 84 malicious versions across 42 @tanstack/* packages were published to the npm registry. The publishes were authenticated via the legitimate GitHub Actions OIDC trusted-publisher binding for TanStack/router, but the publish workflow itself was not modified. The attacker chained three known vulnerability classes — a pull_request_target "Pwn Request" misconfiguration, GitHub Actions cache poisoning across the fork↔base trust boundary, and runtime memory extraction of the OIDC token from the Actions runner process — to publish credential-stealing malware under a trusted identity. Each affected package received exactly two malicious versions, published a few minutes apart.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Projelerinizde ve kilit dosyalarında (lockfile) etkilenen @tanstack/* sürümlerinin kullanılıp kullanılmadığını kontrol edin; her pakette yalnızca belirtilen iki zararlı sürüm etkilidir (örneğin react-router için 1.169.5 ve 1.169.8). Genel öneri
- Zararlı sürümleri kaldırın, bağımlılıkları bu sürümlerin dışındaki temiz sürümlere sabitleyin ve TanStack'in resmi duyurusundaki yönergeleri uygulayın. Genel öneri
- Zararlı sürümlerin kurulduğu geliştirici makinelerindeki ve CI/CD ortamlarındaki tüm bulut kimlik bilgilerini, GitHub belirteçlerini ve SSH anahtarlarını iptal edip yenileyin; bu makineleri güvenilmez kabul ederek temiz bir ortamdan yeniden kurun. Genel öneri
- Satıcı talimatlarına göre azaltım önlemlerini uygulayın, bulut hizmetleri için geçerli BOD 22-01 rehberini izleyin; azaltım önlemleri mümkün değilse ürünün kullanımını bırakın. CISA
Ek önlemler
- Bağımlılık sürümlerini kilit dosyasıyla sabitleyin ve CI ortamında yeni yayımlanmış paket sürümlerine otomatik geçişi engelleyin veya kısa bir bekleme süresi uygulayın. Genel öneri
- GitHub Actions iş akışlarında pull_request_target kullanımını gözden geçirin; fork kaynaklı kodun ayrıcalıklı iş akışlarında çalışmasına ve paylaşılan önbelleğe yazmasına izin vermeyin. Genel öneri
- CI/CD ve bulut hesaplarında olağandışı erişimleri, beklenmeyen oturum açmalarını ve token kullanımını izleyin; belirteçlerin yetkilerini ve ömrünü en aza indirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler42 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @tanstack arktype-adapter | 1.166.12 | – |
| 1.166.15 | – | |
| @tanstack eslint-plugin-router | 1.161.9 | – |
| 1.161.12 | – | |
| @tanstack eslint-plugin-start | 0.0.4 | – |
| 0.0.7 | – | |
| @tanstack history | 1.161.9 | – |
| 1.161.12 | – | |
| @tanstack nitro-v2-vite-plugin | 1.154.12 | – |
| 1.154.15 | – | |
| @tanstack outer-vite-plugin | 1.166.53 | – |
| 1.166.56 | – |
ve 72 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…router/security/advisories/GHSA-g7cv-rxg3-hmpx Diğer
- github.com/TanStack/router/issues/7383 Diğer
- tanstack.com/blog/npm-supply-chain-compromise-postmortem Diğer
- stepsecurity.io/…ing-supply-chain-attack-hits-the-npm-ecosystem Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.