CVE-2026-23888
Açıklama
pnpm bir paket yöneticisidir. Versiyon 10.28.1 öncesinde, pnpm'in binary fetcher bileşenindeki bir path traversal zafiyeti, kötü niyetli paketlerin dosyaları hedeflenen çıkarma dizininin dışına yazmasına olanak tanır. Zafiyet iki saldırı vektörüne sahiptir: (1) AdmZip'in `extractAllTo` fonksiyonu aracılığıyla çıkarma kök dizininden kaçan, `../` veya mutlak yollar içeren kötü niyetli ZIP girişleri ve (2) `BinaryResolution.prefix` alanının herhangi bir doğrulama yapılmadan çıkarma yoluna eklenmesi; bu durum `../../evil` gibi hazırlanmış bir ön ekin, çıkarılan dosyaları `targetDir` dışına yönlendirmesine izin verir. Sorun, binary varlıkları olan paketler yükleyen tüm pnpm kullanıcılarını, özel Node.js binary konumları yapılandıran kullanıcıları ve binary bağımlılıkları otomatik olarak yükleyen CI/CD hatlarını etkilemektedir. Bu durum; yapılandırma dosyalarının, betiklerin veya diğer hassas dosyaların üzerine yazılmasına yol açarak RCE ile sonuçlanabilir. Versiyon 10.28.1 bir yama içermektedir.
Nasıl düzeltilir
- pnpm pnpm10.28.1 ya da sonraki bir sürüm
- pnpm10.28.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.28.1 | 10.28.1 |
| pnpmnpm | v < 10.28.1 | 10.28.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.