CVE-2026-101044

pnpm npm paketinin >=12.0.0-alpha.0 və <12.0.0-alpha.5 versiyalarında təqdim olunan Rust paket meneceri komponenti olan pacquet, lockfile-dan götürülmüş asılılıq alias/ad yollarını quraşdırma zamanı fayl sistemi birləşmələrində istifadə etməzdən əvvəl yoxlamır. İstifadəçi hücumçu tərəfindən təmin edilmiş lockfile-ı --trust-lockfile və ya dondurulmuş lockfile vasitəsilə quraşdırdıqda, yol keçidi seqmentləri (məsələn, '../../escaped-link') ehtiva edən alias yazıları asılılıq və paket linklərinin, bin təyinatlarının, hoisted yazıların və virtual-store slotlarının yaradılması zamanı istifadə olunur ki, bu da simvolik linklərin və kataloqların nəzərdə tutulmuş layihə və node_modules sərhədlərindən kənarda yaradılmasına imkan verir. Versiya 12.0.0-alpha.5 hər hansı bir fayl sistemi materializasiyasından əvvəl asılılıq adlarını və hər bir virtual-store slot yolunu ortaq safe-join containment köməkçisi ilə yoxlayaraq keçid, mütləq, platformaya xas və rezerv edilmiş adları ERR_PNPM_INVALID_DEPENDENCY_NAME xətası ilə rədd edir.