TanStack 供应链投毒检测脚本发布

ry-allan 发布 tanstack-compromise-checker 检测脚本，用于在本地项目、CI 任务和 Docker 构建中排查 TanStack 供应链投毒（CVE-2026-45321）及 Mini Shai-Hulud 蠕虫痕迹。脚本覆盖全部 42 个 `@tanstack/*` 包，以及 20 个经蠕虫传播的次级受害包（如 `@mistralai`、`@opensearch-project`、`@draftlab`、`safe-action` 等），按公开公告检查已知包名、版本、文件名、哈希、域名、分支名和持久化路径。 脚本仅在 `npm` 可用且已通过认证、能够执行 `npm token list` 时，才会检查 npm token。它只能识别可疑文件和配置，不会清除恶意软件、轮换密钥、撤销 token，也不会对主机做镜像取证。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。