CVE-2026-48995
Yüksək
Təsvir
pnpm paket meneceridir. 10.33.4 və 11.0.7 versiyalarından əvvəl zərərli codeload.github.com serveri istədiyi hər hansı tarball faylını təqdim edə bilər və pnpm lockfile-dən asılı olmayaraq onu quraşdıracaqdır. Lockfile https://codeload.github.com ünvanındakı asılılıqların heşini (hash) saxlamır. Bu o deməkdir ki, əgər bu server və ya istifadəçinin maşın konfiqurasiyası kompromisə məruz qalsa, pnpm bu asılılıqları yükləyib quraşdıracaqdı. Bu boşluq 10.33.4 və 11.0.7 versiyalarında aradan qaldırılmışdır.
CiddilikYüksək
CVSS7.5
İstismar ehtimalı—
MəhsulPnpm
Dərc25 iyn 2026
İlk görülmə25 iyn 2026
Zəiflik növüCWE-353CWE-353
Necə düzəltmək olar
Yeniləyin
- pnpm pnpm10.33.4, 11.0.7 və ya daha yeni versiya
- pnpm10.33.4, 11.0.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pnpm pnpm | v < 10.33.4, 11.0.0 ≤ v < 11.0.7 | 10.33.4, 11.0.7 |
| pnpmnpm | v < 10.33.4, 11.0.0 ≤ v < 11.0.7 | 10.33.4, 11.0.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.