CVE-2025-69264
Açıklama
pnpm bir paket yöneticisidir. 10.0.0 ile 10.25 arasındaki sürümler, git tabanlı bağımlılıkların pnpm install sırasında rastgele kod yürütmesine izin vererek v10 güvenlik özelliği olan "Bağımlılık yaşam döngüsü betikleri yürütülmesi varsayılan olarak devre dışı" mekanizmasını atlatmaktadır. pnpm v10, onlyBuiltDependencies mekanizması aracılığıyla postinstall betiklerini engellese de, git bağımlılıkları getirme aşamasında hala prepare, prepublish ve prepack betiklerini yürütebilmekte ve bu durum kullanıcı onayı veya izni olmaksızın uzaktan kod çalıştırmaya olanak tanımaktadır. Bu sorun 10.26.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- pnpm pnpm10.26.0 ya da sonraki bir sürüm
- pnpm10.26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | 10.0.0 ≤ v < 10.26.0 | 10.26.0 |
| pnpmnpm | 10.0.0 ≤ v < 10.26.0 | 10.26.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.