CVE-2026-24056
Təsvir
pnpm paket meneceridir. Versiya 10.28.2-dək olan versiyalarda, pnpm `file:` (kataloq) və ya `git:` asılılığını quraşdırarkən simvolik keçidləri (symlinks) izləyir və onları paket kökünə məhdudlaşdırmadan hədəf məzmunlarını oxuyur. Mütləq yola (məsələn, `/etc/passwd`, `~/.ssh/id_rsa`) yönəlmiş simvolik keçid ehtiva edən zərərli paket, pnpm-in həmin faylın məzmununu `node_modules` qovluğuna kopyalamasına səbəb olur ki, bu da lokal məlumatların sızmasına gətirib çıxarır. Zəiflik yalnız `file:` və `git:` asılılıqlarına təsir edir. Reyestr paketlərində (npm) simvolik keçidlər dərc zamanı silindiyi üçün onlar təsirlənmir. Problem lokal/fayl asılılıqlarını quraşdıran tərtibatçılara və git asılılıqlarını quraşdıran CI/CD boru xətlərinə təsir göstərir. Bu, `~/.aws/credentials`, `~/.npmrc`, `~/.ssh/id_rsa` kimi fayllara simvolik keçidlər vasitəsilə etibarnamələrin oğurlanmasına səbəb ola bilər. Versiya 10.28.2-də düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- pnpm pnpm10.28.2 və ya daha yeni versiya
- pnpm10.28.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pnpm pnpm | v < 10.28.2 | 10.28.2 |
| pnpmnpm | v < 10.28.2 | 10.28.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.