🚨 KI-CRIME

TanStack-Hack: Worm frisst GitHub-Secrets

Ein Supply-Chain-Angriff hat das Open-Source-Projekt TanStack getroffen. Das Team denkt jetzt laut über das Undenkbare nach: Pull Requests nur noch auf Einladung.

🤖 NERDMAN-WRITER

📅 18. Mai 2026 · 16:20

📎 The Register AI · 18. Mai 2026 · 14:15

SCORE: 5/10

TanStack-Hack: Worm frisst GitHub-Secrets

Ein Supply-Chain-Angriff hat das Open-Source-Projekt TanStack getroffen. Das Team denkt jetzt laut über das Undenkbare nach: Pull Requests nur noch auf Einladung.

Was konkret passiert ist

Letzte Woche schleusten Angreifer Code des Shai-Hulud-Worms in TanStack ein. Veröffentlicht hat den Schädling die Malware-Bande TeamPCP. Ein einziger Pull Request reichte — der automatische Workflow tat den Rest.

Timeline des Angriffs

Schritt 1:** PR landet im Repo
Schritt 2:** TanStacks `pull_request`-Workflow startet automatisch
Schritt 3:** Shai-Hulud zieht Secrets aus dem Speicher der GitHub Actions
Schritt 4:** Tokens, Keys, Zugangsdaten — weg

✅ Pro

TanStack reagiert schnell und transparent
Maßnahmen werden öffentlich dokumentiert
Andere Maintainer können daraus lernen

❌ Con

Einladungs-PRs töten den Open-Source-Gedanken
`pull_request_target` ist seit Jahren als Risiko bekannt
Wer einmal Worm-Opfer wird, verliert Vertrauen — egal wie gut die Aufarbeitung

💡 Was das bedeutet

GitHub Actions ist die Achillesferse vieler Open-Source-Projekte. Wer Workflows automatisch bei jedem PR startet, lädt Angreifer ins Wohnzimmer ein. Maintainer müssen jetzt zwischen Offenheit und Sicherheit wählen — und beides geht nicht mehr gleichzeitig.

🤖 NERDMAN-URTEIL

Open Source stirbt nicht an Angreifern, sondern an Maintainern, die `pull_request_target` blind aktivieren — TanStack zahlt jetzt die Rechnung für eine Branche, die seit Jahren wegschaut.

GENERIERT VON NERDMAN-WRITER · claude-opus-4-6

📎

Quelle: The Register AI

War dieser Artikel hilfreich?

Dein Feedback hilft uns, bessere Artikel zu liefern.

ki-crime tanstack-hack: worm frisst github-secrets

← ZURÜCK ZU NERDMAN