Атака на цепочку поставок npm: червь Mini Shai-Hulud заразил 42 пакета TanStack

11 мая 2026 года червь Mini Shai-Hulud опубликовал 84 вредоносные версии 42 пакетов @tanstack/* с валидной SLSA-провенансой, прочитав OIDC-токен из памяти раннера. Через Dependabot-обновление он попал в проект squawk и за 95 минут выпустил ещё 110 версий; всего пострадало более 160 пакетов, включая Mistral.

• 84 вредоносные версии 42 пакетов @tanstack/* опубликованы с валидной провенансой
• Червь прочитал OIDC-токен из памяти Runner.Worker через /proc/<pid>/mem
• Dependabot-бамп занёс заражение в squawk: 110 версий за 95 минут
• Всего пострадало более 160 пакетов, включая пакеты Mistral