CVE-2021-39135

npm komanda sətiri interfeysi üçün asılılıq ağaclarını hesablayan və `node_modules` qovluq iyerarxiyasını idarə edən `@npmcli/arborist` kitabxanası paket asılılıq müqavilələrinin yerinə yetirilməsini və paket məzmununun həmişə gözlənilən qovluğa çıxarılmasını təmin etməyi hədəfləyir. Bu, paket məzmunlarının layihənin `node_modules` qovluğuna çıxarılması ilə həyata keçirilir. Əgər kök layihənin və ya onun asılılıqlarından hər hansı birinin `node_modules` qovluğu simvolik link (symbolic link) ilə əvəzlənərsə, bu, Arborist-ə paket asılılıqlarını fayl sistemində istənilən ixtiyari yerə yazmağa imkan verə bilər. Qeyd edək ki, paket artefaktlarının məzmunundakı simvolik linklər filtrləndiyi üçün `node_modules` simvolik linkini yaratmaq üçün başqa üsul tətbiq edilməlidir. 1. `preinstall` skripti `node_modules`-u simvolik link ilə əvəz edə bilər. (Bunun qarşısı `--ignore-scripts` istifadə edilərək alınır.) 2. Hücumçu hədəf şəxsə git repozitoriyası təqdim edərək, ona kök kataloqda `npm install --ignore-scripts` əmrini işə salmağı tapşıra bilər. Bu uğurlu ola bilər, çünki `npm install --ignore-scripts` adətən layihə kataloqundan kənarda dəyişikliklər etmək imkanına malik deyil və buna görə də təhlükəsiz hesab oluna bilər. Bu problem, npm v7.20.7 və daha yuxarı versiyalara daxil edilmiş `@npmcli/arborist` 2.8.2 versiyasında düzəldilmişdir. Alternativ həll yolları daxil olmaqla daha çox məlumat üçün istinad verilmiş GHSA-gmw6-94gg-2rc2 sənədinə baxın.