#supply-chain-security

mini Shai-Hulud：一個 fork PR 如何劫持 TanStack 的 npm 發布管線

攻擊者只是對 TanStack 開了一個 fork PR 又立刻關掉，就利用 pull_request_target 的權限把惡意檔案寫進 CI 共享快取，等後續 PR 合併時劫持 npm trusted publishing token，6 分鐘投毒 84 個套件並蠕蟲式擴散到 169 個套件。