CVE-2025-69263
Açıklama
pnpm bir paket yöneticisidir. 10.26.2 ve altı sürümler, HTTP tarball bağımlılıklarını (ve git tabanlı tarball'ları) bütünlük özetleri (integrity hashes) olmadan lockfile içerisinde saklar. Bu durum, bir lockfile commit edilmiş olsa bile, uzak sunucunun her kurulumda farklı içerikler sunmasına olanak tanır. HTTP tarball bağımlılığına sahip bir paket yayınlayan saldırgan, farklı kullanıcılara veya CI/CD ortamlarına farklı kodlar sunabilir. Saldırı, kurbanın bağımlılık ağacında HTTP/git tarball bulunan bir paketi yüklemesini gerektirir. Kurbanın lockfile dosyası herhangi bir koruma sağlamaz. Bu sorun 10.26.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- pnpm pnpm10.26.0 ya da sonraki bir sürüm
- pnpm10.26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.26.0 | 10.26.0 |
| pnpmnpm | v < 10.26.0 | 10.26.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.