CVE-2026-23888

pnpm paket meneceridir. Versiya 10.28.1-dən əvvəl, pnpm-in binary fetcher komponentindəki yol keçidi (path traversal) zəifliyi bədniyyətli paketlərə faylları nəzərdə tutulmuş çıxarma qovluğundan kənara yazmağa imkan verir. Zəifliyin iki hücum vektoru mövcuddur: (1) AdmZip-in `extractAllTo` funksiyası vasitəsilə çıxarma kökündən kənara çıxan və tərkibində `../` və ya mütləq yollar olan bədniyyətli ZIP yazıları, və (2) `BinaryResolution.prefix` sahəsinin təsdiqlənmədən çıxarma yoluna birləşdirilməsi, bu da `../../evil` kimi hazırlanmış prefiksin çıxarılan faylları `targetDir`-dən kənara yönləndirməsinə şərait yaradır. Problem binary aktivləri olan paketləri quraşdıran bütün pnpm istifadəçilərinə, xüsusi Node.js binary yerlərini konfiqurasiya edən istifadəçilərə və binary asılılıqlarını avtomatik quraşdıran CI/CD boru xətlərinə təsir edir. Bu, konfiqurasiya fayllarının, skriptlərin və ya digər həssas faylların üzərinə yazılmasına səbəb ola bilər ki, bu da uzaqdan kodun icrasına (RCE) gətirib çıxarır. Versiya 10.28.1 düzəliş ehtiva edir.