TanStack: 84 versiones maliciosas en 42 paquetes @tanstack/* npm

TanStack, una de las suites de librerías más populares del ecosistema React, publicó este 11 de mayo de 2026 un postmortem técnico sobre el compromiso que afectó a 42 paquetes @tanstack/* en npm. En una ventana de apenas seis minutos, un atacante logró empujar 84 versiones maliciosas al registro sin robar un solo token de npm. El ataque combinó tres técnicas conocidas pero raramente vistas operando en cadena: el patrón "Pwn Request" sobre pull_request_target , envenenamiento de caché en GitHub A