tanstack-compromise-checker rileva gli indicatori dell'attacco supply chain TanStack (CVE-2026-45321) su una macchina di sviluppo, un repository o un runner CI – stesso motore, tre confezioni: script Bash, immagine Docker e GitHub Action.
Il contesto: l'11 maggio 2026, via cache poisoning delle GitHub Actions, sono state pubblicate 84 versioni malevole di 42 pacchetti @tanstack/*. Il payload ruba token GitHub/npm e credenziali cloud, e installa un demone dead-man's switch che cancella la home nel momento in cui il token rubato viene revocato – il motivo per cui la bonifica va fatta nell'ordine giusto, e un semplice npm ls non basta.
È il caso concreto dietro la teoria della supply chain security: quando succede, serve un controllo eseguibile, non un articolo.