CVE-2021-39135

npm komut satırı arayüzü için bağımlılık ağaçlarını hesaplayan ve node_modules klasör hiyerarşisini yöneten kütüphane olan `@npmcli/arborist`, paket bağımlılık sözleşmelerinin karşılanmasını ve paket içeriklerinin çıkarılmasının her zaman beklenen klasöre yapılmasını garanti etmeyi amaçlar. Bu, paket içeriklerinin bir projenin `node_modules` klasörüne çıkarılmasıyla sağlanır. Kök projenin veya bağımlılıklarından herhangi birinin `node_modules` klasörü bir şekilde sembolik bir bağlantı ile değiştirilirse, bu durum Arborist'in paket bağımlılıklarını dosya sisteminde rastgele herhangi bir konuma yazmasına izin verebilir. Paket artifakt içerikleri içindeki sembolik bağlantıların filtrelendiğini, dolayısıyla bir `node_modules` sembolik bağlantısı oluşturmak için başka bir yöntemin kullanılması gerektiğini unutmayın. 1. Bir `preinstall` betiği, `node_modules` klasörünü bir sembolik bağlantıyla değiştirebilir. (Bu, `--ignore-scripts` kullanılarak önlenir.) 2. Bir saldırgan, hedef kişiye bir git deposu sağlayarak kök dizinde `npm install --ignore-scripts` komutunu çalıştırmasını söyleyebilir. `npm install --ignore-scripts` genellikle proje dizini dışında değişiklik yapamadığı için güvenli kabul edilebilir ve bu işlem başarılı olabilir. Bu sorun, npm v7.20.7 ve üzeri sürümlerde yer alan @npmcli/arborist 2.8.2 sürümünde düzeltilmiştir. Geçici çözümler dahil daha fazla bilgi için lütfen referans verilen GHSA-gmw6-94gg-2rc2 adresine bakın.