CVE-2026-50573
Təsvir
pnpm paket meneceridir. 10.34.0 və 11.4.0 versiyalarından əvvəl, dondurulmamış (non-frozen) rejimdəki `pnpm install`, yüklənmiş tarball faylının pnpm-lock.yaml faylında qeyd olunan bütövlük (integrity) dəyəri ilə uyğun gəlmədiyini aşkar etdikdən sonra yeni uzaq paket məzmununu qəbul edə bilər. Paket artıq bir bütövlük dəyəri ilə kilidlənibsə və reyestr daha sonra eyni paket adı və versiya üçün fərqli metadata və tarball məzmunu təqdim edirsə, pnpm əvvəlcə bütövlüyün uyğunsuzluğunu bildirir. Lakin adi pnpm install əməliyyatı daha sonra həll təmirini (resolution repair) yerinə yetirir, reyestrin yeni bütövlük dəyərini qəbul edir, kilid faylını yeniləyir, yeni məzmunu quraşdırır və uğurla başa çatır. Bu o deməkdir ki, kilid faylının bütövlük yoxlaması standart olaraq kəskin dayandırma mexanizmi kimi çıxış etmir. Bu zəiflik 10.34.0 və 11.4.0 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- pnpm pnpm10.34.0, 11.4.0 və ya daha yeni versiya
- pnpm10.34.0, 11.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pnpm pnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
| pnpmnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.