tanstack-compromise-checker

⚠️ अस्वीकरण: यह टूल मेरे अपने उपयोग के लिए बनाया गया था। सभी संकेतक निम्नलिखित एडवाइज़री स्रोतों से प्राप्त हुए हैं:

• GHSA-g7cv-rxg3-hmpx
• Snyk: TanStack npm packages compromised
• StepSecurity: Mini Shai-Hulud deep dive

यदि इसे अंतिम बार अपडेट किए जाने के बाद नए IOC, पेलोड वेरिएंट या हमलावर इंफ्रास्ट्रक्चर सामने आते हैं, तो उनका पता नहीं लगाया जा सकेगा। हमेशा नवीनतम प्रकाशित एडवाइज़री के साथ क्रॉस-चेक करें।

स्थानीय प्रोजेक्ट चेकआउट में TanStack सप्लाई चेन समझौते (CVE-2026-45321) और संबंधित Mini Shai-Hulud वर्म आर्टिफैक्ट का पता लगाता है।

यह स्क्रिप्ट सोर्स चेकआउट, CI जॉब्स और Docker बिल्ड्स में त्वरित ट्राइएज के लिए बनाई गई है। साफ परिणाम का मतलब है कि नीचे सूचीबद्ध ज्ञात संकेतकों में से कोई भी नहीं मिला। यह पूर्ण फॉरेंसिक जांच या इस बात की गारंटी नहीं है कि मशीन कभी एक्सपोज़ नहीं हुई थी।

यह क्या जांचता है

यह कवर नहीं करता

• यह सार्वजनिक एडवाइज़री से ज्ञात पैकेज नाम, वर्जन, फ़ाइलनाम, हैश, डोमेन, ब्रांच नाम और पर्सिस्टेंस पथों की जांच करता है। नए हमलावर इंफ्रास्ट्रक्चर या नाम बदले गए पेलोड के लिए नए संकेतकों की आवश्यकता हो सकती है।
• यह पैकेज-मैनेजर प्राथमिकता क्रम (pnpm, yarn, bun, फिर npm) में एक प्रोजेक्ट लॉकफ़ाइल का चयन करता है। यदि किसी रिपॉज़िटरी में जानबूझकर कई लॉकफ़ाइलें हैं, तो प्रत्येक प्रासंगिक पैकेज-मैनेजर स्थिति को अलग से स्कैन करें।
• यह संदिग्ध फ़ाइलों और कॉन्फ़िगरेशन की पहचान कर सकता है, लेकिन यह मैलवेयर नहीं हटाता, सीक्रेट रोटेट नहीं करता, टोकन रद्द नहीं करता, या होस्ट की इमेज नहीं लेता।
• npm टोकन जांच केवल तब चलती है जब npm उपलब्ध हो और npm token list चलाने के लिए पर्याप्त रूप से प्रमाणित हो।
• होम-डायरेक्टरी पर्सिस्टेंस जांच स्क्रिप्ट चला रही प्रक्रिया के वर्तमान HOME की जांच करती हैं। CI या कंटेनरों में, यह डेवलपर वर्कस्टेशन होम डायरेक्टरी से भिन्न हो सकता है।

त्वरित आरंभ

# Scan current directory
bash check-tanstack-compromise.sh .

# Scan a specific project
bash check-tanstack-compromise.sh /path/to/project

# One-liner (curl)
curl -sL https://raw.githubusercontent.com/ry-allan/tanstack-compromise-checker/main/check-tanstack-compromise.sh | bash

एग्ज़िट कोड 0 = कोई कवर किए गए संकेतक नहीं मिले। एग्ज़िट कोड 1 = कवर किया गया समझौता या संदिग्ध पेलोड संकेतक मिला।

नमूना आउटपुट (साफ प्रोजेक्ट)

═══════════════════════════════════════════════════════════════
  TanStack Supply Chain Compromise Check (CVE-2026-45321)
═══════════════════════════════════════════════════════════════
  Advisory: GHSA-g7cv-rxg3-hmpx
  Reference: https://snyk.io/blog/tanstack-npm-packages-compromised/
  Deep dive: https://www.stepsecurity.io/blog/mini-shai-hulud-is-back-…

[*] Scanning: /Users/xxxxx/repos/xxxxx

[*] Package manager: pnpm (pnpm-lock.yaml)

[*] Checking installed TanStack packages against 42 known-compromised versions…

[*] Checking worm-propagated secondary victims (Mini Shai-Hulud)…
[*]   Packages: @mistralai, @opensearch-project, @draftlab, @draftauth,
[*]   @dirigible-ai, safe-action, cmux-agent-mcp, nextmove-mcp,
[*]   git-git-git, git-branch-selector, agentwork-cli, ml-toolkit-ts,
[*]   wot-api, cross-stitch, ts-dna

[*] Scanning lockfile for known-compromised versions (pnpm-lock.yaml)…
[✓] No compromised versions in lockfile

[*] Checking for persistence artifacts (payload files, hooks, services, C2)…
[✓] No malicious author commits in git history

───────────────────────────────────────────────────────────────
[✓] No compromise detected.

भविष्य के हमलों की रोकथाम

मैलवेयर के लिए हर पैकेज इंस्टॉल को स्वचालित रूप से स्कैन करने के लिए Aikido Safe Chain इंस्टॉल करें:

curl -fsSL https://github.com/AikidoSec/safe-chain/releases/latest/download/install-safe-chain.sh | sh

उसके बाद अपना टर्मिनल पुनः आरंभ करें। Safe Chain npm, npx, yarn, pnpm, pip, uv और अधिक को रैप करता है — 48 घंटे से कम पुराने पैकेजों और ज्ञात-खराब वर्जनों को डिस्क तक पहुँचने से पहले ब्लॉक करता है। किसी टोकन या कॉन्फ़िगरेशन की आवश्यकता नहीं है।

परीक्षण कवरेज

इंटीग्रेशन Dockerfile केवल सिंथेटिक फिक्स्चर बनाता है। यह वास्तविक समझौता किए गए पैकेज डाउनलोड नहीं करता।

मुख्य फिक्स्चर पुष्टि करता है कि सभी 33 डिटेक्शन संदेश पैकेज मैनिफेस्ट, लॉकफ़ाइल, पर्सिस्टेंस आर्टिफैक्ट, वर्कफ़्लो, git इतिहास, स्रोत IOC, पेलोड फ़ाइलनाम, AI टूल कॉन्फ़िगरेशन और रेमेडिएशन आउटपुट में ट्रिगर होते हैं:

docker build -f integration.Dockerfile -t tanstack-check-test .

Docker बिल्ड में निम्नलिखित के लिए लक्षित रिग्रेशन कवरेज भी शामिल है:

• package-lock.json v3 एंट्री जहाँ पैकेज नाम और समझौता किया गया वर्जन अलग-अलग पंक्तियों में दिखाई देते हैं।
• Yarn v1 लॉकफ़ाइल एंट्री जहाँ पैकेज सेलेक्टर और समझौता किया गया version अलग-अलग पंक्तियों में दिखाई देते हैं।
• हैश-बेमेल router_init.js पेलोड फ़ाइलनाम एग्ज़िट कोड 1 लौटाते हैं।
• होम-स्तरीय Claude Code SessionStart हुक, भले ही एक साफ प्रोजेक्ट-स्तरीय .claude/settings.json मौजूद हो।

बिल्ड करने के बाद, इमेज कमांड सीधे चलाई जा सकती है:

docker run --rm tanstack-check-test

संदर्भ

• GHSA-g7cv-rxg3-hmpx
• Snyk: TanStack npm packages compromised
• StepSecurity: Mini Shai-Hulud deep dive