Kritische Sicherheitslücke CVE-2026-45321: Malware in TanStack-Paketen auf npm
Am 11. Mai 2026 wurden zwischen ca.
Was ist passiert?
Am 11. Mai 2026 wurden zwischen ca. 19:20 und 19:26 UTC 84 bösartige Versionen von 42 @tanstack/*-Paketen in der npm-Registry veröffentlicht. Die Veröffentlichungen erfolgten authentifiziert über die legitime GitHub Actions OIDC Trusted-Publisher-Bindung für TanStack/router. Angreifer nutzten eine Kette von drei bekannten Schwachstellen, um Malware zur Anmeldeinformationsdiebstahl unter einer vertrauenswürdigen Identität zu publizieren.
Wer ist betroffen?
Betroffen sind Unternehmen, die Software entwickeln oder nutzen, die auf den genannten @tanstack/*-Paketen basiert und diese aus der npm-Registry bezieht. Jedes betroffene Paket erhielt genau zwei bösartige Versionen, die im Abstand von wenigen Minuten veröffentlicht wurden. Die Malware zielt auf den Diebstahl von Anmeldeinformationen ab.
Wie kritisch ist es?
Die Schwachstelle CVE-2026-45321 wird mit einem CVSS-Score von 9.6 als "CRITICAL" eingestuft, was auf eine sehr hohe Kritikalität hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 2 %. Besonders besorgniserregend ist, dass die aktive Ausnutzung dieser Schwachstelle von CISA KEV seit dem 26. Mai 2026 bestätigt wird.
Was ist jetzt zu tun?
Prüfen Sie umgehend, ob in Ihren Projekten @tanstack/*-Pakete aus der npm-Registry verwendet werden. Stellen Sie sicher, dass keine der am 11. Mai 2026 veröffentlichten bösartigen Versionen in Ihren Systemen zum Einsatz kommen. Isolieren und analysieren Sie Systeme, die potenziell betroffene Versionen installiert haben könnten, um eine Kompromittierung auszuschließen.
Quellen: NVD (CVE-2026-45321), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.