CVE-2026-50016
Təsvir
pnpm paket meneceridir. 10.34.0 və 11.4.0 versiyalarından əvvəl pnpm, reyestr paketinin metadata-sındakı tranzitiv asılılıq aliasının yol keçidi (path traversal) seqmentləri ehtiva etməsinə icazə verir. Quraşdırma zamanı pnpm, asılılıq düyünlərini əlaqələndirərkən həmin aliasdan fayl sistemi yolu kimi istifadə edir. Nəticədə, reyestr paketi `pnpm install --ignore-scripts` əmrinin cari layihədəki yolları hücumçunun nəzarətində olan asılılıq paketi kataloqlarına yönəlmiş simvolik keçidlərlə (symlink) əvəz etməsinə səbəb ola bilər. Bu zəiflik 10.34.0 və 11.4.0 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- pnpm pnpm10.34.0, 11.4.0 və ya daha yeni versiya
- pnpm10.34.0, 11.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pnpm pnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
| pnpmnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.