CVE-2026-24131

Orta

Təsvir

pnpm paket meneceridir. Versiya 10.28.2-dək olan versiyalarda, pnpm paketin `directories.bin` sahəsini emal edərkən, nəticənin paket kök kataloqunda qaldığını yoxlamadan `path.join()` funksiyasından istifadə edir. Zərərli npm paketi paket kataloqundan çıxmaq üçün `"directories": {"bin": "../../../../tmp"}` parametrini təyin edə bilər ki, bu da pnpm-in ixtiyari yerlərdəki fayllara chmod 755 icazələrini tətbiq etməsinə səbəb olur. Bu problem yalnız Unix/Linux/macOS sistemlərinə təsir edir. Windows sistemi təsirlənmir (`fixBin` funksiyası `EXECUTABLE_SHEBANG_SUPPORTED` ilə məhdudlaşdırılıb). Versiya 10.28.2-də düzəliş tətbiq edilmişdir.

CiddilikOrta

CVSS5.5

İstismar ehtimalı—

MəhsulPnpm

Dərc26 yan 2026

İlk görülmə26 yan 2026

Zəiflik növüCWE-22Kataloq keçidi (path traversal)CWE-732CWE-732

Necə düzəltmək olar

Yeniləyin

pnpm pnpm10.28.2 və ya daha yeni versiya
pnpm10.28.2 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
pnpm pnpm	v < 10.28.2	10.28.2
pnpmnpm	v < 10.28.2	10.28.2

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.