知名開源框架 TanStack 遭「Mini Shai-Hulud」供應鏈攻擊，開源安全風險受關注
知名網頁應用程式框架 TanStack 的 npm 套件近期遭到駭客組織 TeamPCP 發動名為「Mini Shai-Hulud」的大規模軟體供應鏈攻擊，攻擊者在短短幾分鐘內發布了 42 個 「@tanstack/*」套件的 84 個惡意版本。本次攻擊的惡意套件首次具備有效的 SLSA（軟體供應鏈安全框架）第3級來源證明，使其外觀與合法套件無異。該惡意軟體具備自我傳播能力，已迅速擴散至 Mistral AI、UiPath 與 OpenSearch 等 170 多個 npm 與 PyPI 套件，更導致知名 AI 企業 OpenAI 內部員工裝置遭入侵，部分原始碼專案庫遭未經授權存取。 根據 TanStack 官方發布的事後檢討報告，這次的攻擊之所以能成功，根本原因在於駭客將三個獨立的弱點串聯在一起，官方特別強調，這三項弱點「缺一不可」，單一弱點皆不足以構成此次的攻擊。以下是根據 TanStack 官方報告重新整理的三項弱點剖析： 1. 外部Pull Request（PR）可在主專案庫環境執行 官方的「bundle-size.yml」工作流程使用「pull_request_target」觸發條件處理外部Pull Request（PR）請求，並在主專案庫的工作流程環境下檢出與執行外部程式碼，使不受信任的可能接觸主專案庫的相關資源。儘管官方在設計工作流程時，曾試圖透過設定唯讀權限區分信…
| 情報源 | TWCERT/CC 資安新聞 |
|---|---|
| 取得日時 | 2026/10/27 18:57 |
| データ | Markdown JSON |
2026/06/26 15:08、TWCERT/CC 資安新聞が「知名開源框架 TanStack 遭「Mini Shai-Hulud」供應鏈攻擊，開源安全風險受關注」を公開しました (種別: セキュリティニュース)。関連する技術: JavaScript / Node.js、Python、Elasticsearch / OpenSearch、OpenAI。