知名開源框架 TanStack 遭「Mini Shai-Hulud」供應鏈攻擊，開源安全風險受關注
知名網頁應用程式框架 TanStack 的 npm 套件近期遭到駭客組織 TeamPCP 發動名為「Mini Shai-Hulud」的大規模軟體供應鏈攻擊，攻擊者在短短幾分鐘內發布了 42 個 「@tanstack/*」套件的 84 個惡意版本。本次攻擊的惡意套件首次具備有效的 SLSA（軟體供應鏈安全框架）第3級來源證明，使其外觀與合法套件無異。該惡意軟體具備自我傳播能力，已迅速擴散至 Mistral AI、UiPath 與 OpenSearch 等 170 多個 npm 與 PyPI 套件，更導致知名 AI 企業 OpenAI 內部員工裝置遭入侵，部分原始碼專案庫遭未經授權存取。 根據 TanStack 官方發布的事後檢討報告，這次的攻擊之所以能成功，根本原因在於駭客將三個獨立的弱點串聯在一起，官方特別強調，這三項弱點「缺一不可」，單一弱點皆不足以構成此次的攻擊。以下是根據 TanStack 官方報告重新整理的三項弱點剖析： 1. 外部Pull Request（PR）可在主專案庫環境執行 官方的「bundle-size.yml」工作流程使用「pull_request_target」觸發條件處理外部Pull Request（PR）請求，並在主專案庫的工作流程環境下檢出與執行外部程式碼，使不受信任的可能接觸主專案庫的相關資源。儘管官方在設計工作流程時，曾試圖透過設定唯讀權限區分信…
| 정보원 | TWCERT/CC 資安新聞 |
|---|---|
| 수집 시각 | 2026. 10. 27. 오후 06:57 |
| 데이터 | Markdown JSON |
2026. 06. 26. 오후 03:08, TWCERT/CC 資安新聞에서 "知名開源框架 TanStack 遭「Mini Shai-Hulud」供應鏈攻擊，開源安全風險受關注"을(를) 게시했습니다 (유형: 보안 뉴스). 관련 기술: JavaScript / Node.js, Python, Elasticsearch / OpenSearch, OpenAI.