CVE-2026-50015

Yüksək

Təsvir

pnpm paket meneceridir. 10.34.0 və 11.4.0 versiyalarından əvvəl pnpm-in yamaq tətbiqi konveyeri (@pnpm/patch-package), .patch fayllarından çıxarılan fayl yolları üzərində heç bir yol validasiyası aparmır. Pull request vasitəsilə zərərli yamaq faylı təqdim edən hücumçu, pnpm install zamanı quraşdırmanı həyata keçirən istifadəçi səlahiyyətləri ilə fayl sistemindəki ixtiyari faylları silə və ya onları özünün idarə etdiyi məzmunla doldura bilər. diff --git başlıq yollarındakı ../.. ardıcıllıqları paket kataloqundan kənara çıxmağa imkan verir və yamaq faylının diff başlıqları əksər nəzərdən keçirənlər üçün şəffaf olmadığına görə bu keçidi kod icmalı zamanı aşkar etmək çətindir. Bu boşluq 10.34.0 və 11.4.0 versiyalarında aradan qaldırılıb.

CiddilikYüksək

CVSS7.3

İstismar ehtimalı37. faiz dərəcəsi0,4%

MəhsulPnpm

Dərc25 iyn 2026

İlk görülmə25 iyn 2026

Zəiflik növüCWE-22Kataloq keçidi (path traversal)

Necə düzəltmək olar

Yeniləyin

pnpm pnpm10.34.0, 11.4.0 və ya daha yeni versiya
pnpm10.34.0, 11.4.0 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
pnpm pnpm	v < 10.34.0, 11.0.0 ≤ v < 11.4.0	10.34.0, 11.4.0
pnpmnpm	v < 10.34.0, 11.0.0 ≤ v < 11.4.0	10.34.0, 11.4.0

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.