EudorIACyber Intelligence
Operational monitoring Newsletter IT EN
← Back to intelligence
Technical advisory

CrowdSec Says TanStack npm Attack Led to Copy of 170 Private GitHub Repositories

Editorial source
Editorial OSINT source. The content is an indication to verify with independent institutional or technical sources before operational decisions.
EudorIA operational summary

What it means

Priority 85/100

Un attacco tramite supply chain ha compromesso un ex dipendente di CrowdSec, il cui account GitHub è stato utilizzato per copiare 170 repository privati. L'attacco è avvenuto a causa di un pacchetto npm danneggiato di TanStack, che ha rubato credenziali. La società ha rimosso l'accesso dell'ex dipendente e ha ritenuto che i sistemi non siano stati compromessi. La vulnerabilità è identificata come CVE-2026-45321.

Why it matters

Per le PMI italiane, il rischio è di perdere dati sensibili e credenziali, compromettendo la sicurezza e la fiducia dei clienti. La mancanza di patch e di accesso limitato ai repository può portare a danni economici e reputazionali.

Recommended actions

  1. Revoca immediata di tutti i token e credenziali non necessari
  2. Applica patch per CVE-2026-45321 e controlla l'aggiornamento di tutti i pacchetti npm
  3. Implementa accesso limitato e revoca automatica per account non in uso
  4. Monitora i log di accesso e le attività anomale su GitHub e sistemi cloud
  5. Utilizza software di endpoint protection per i dispositivi che gestiscono codice o sistemi
  6. Verifica la rotazione regolare delle credenziali e la gestione dei token OAuth

Potential operational benefits

  • Riduzione della superficie esposta e del rischio di accessi non autorizzati
  • Miglioramento della gestione delle credenziali e della sicurezza degli account
  • Riduzione del tempo di risposta e del rischio di danni reputazionali
Indications to confirm against the customer's technical and organisational perimeter.
Relevant controlsPatch managementSegmentazione di reteMonitoraggio / SIEMMFA / IdentitàBackup & DR
AudienceITSOCCISO
Information centre

Translation in progress

The Hacker News

The official content is available in the original language. The Italian version will be published once automated checks are complete.

Text acquired from the source

An attacker copied about 170 of CrowdSec's private GitHub repositories on May 22 using the account of an employee who had just left, CrowdSec said on September 18. The French security company had kept his GitHub access open. CrowdSec says his laptop was compromised in May's supply chain attack on TanStack, in which malicious versions of TanStack's npm packages stole credentials from

Source
The Hacker News
Publishing entity
The Hacker News
Entity type
editorial osint
Area
Global
Original language
en · translation in preparation
Publication
19/09/2026 09:14
MITRE ATT&CK
T1078
Open the original source