CVE-2026-23889
Açıklama
pnpm bir paket yöneticisidir. Versiyon 10.28.1 öncesinde, pnpm'in tarball çıkarma işlemindeki bir path traversal zafiyeti, kötü niyetli paketlerin Windows üzerinde paket dizini dışına dosya yazmasına olanak tanır. Yol normalleştirme işlemi yalnızca `./` kontrolü yapmakta ancak `.\` kontrolünü yapmamaktadır. Windows'ta ters eğik çizgiler dizin ayırıcısı olduğundan path traversal mümkün hale gelmektedir. Bu zafiyet yalnızca Windows sistemlerini etkilemektedir. Bu sorun, Windows pnpm kullanıcılarını ve Windows CI/CD hatlarını (GitHub Actions Windows runner'ları, Azure DevOps) etkiler. `.npmrc`, derleme yapılandırmaları veya diğer dosyaların üzerine yazılmasına yol açabilir. Versiyon 10.28.1 bir yama içermektedir.
Nasıl düzeltilir
- pnpm pnpm10.28.1 ya da sonraki bir sürüm
- pnpm10.28.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.28.1 | 10.28.1 |
| pnpmnpm | v < 10.28.1 | 10.28.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.