CVE-2026-24131

Orta

Açıklama

pnpm bir paket yöneticisidir. Versiyon 10.28.2 öncesinde pnpm, bir paketin `directories.bin` alanını işlerken sonucun paket kök dizini içinde kaldığını doğrulamadan `path.join()` kullanır. Kötü niyetli bir npm paketi, paket dizininden çıkmak için `"directories": {"bin": "../../../../tmp"}` belirterek pnpm'nin rastgele konumlardaki dosyaları chmod 755 yapmasına neden olabilir. Bu sorun yalnızca Unix/Linux/macOS sistemlerini etkilemektedir. Windows etkilenmemektedir (`fixBin`, `EXECUTABLE_SHEBANG_SUPPORTED` ile sınırlandırılmıştır). Versiyon 10.28.2 bir yama içermektedir.

ÖnemOrta

CVSS5.5

İstismar olasılığı—

ÜrünPnpm

Yayın26 Oca 2026

İlk görülme26 Oca 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)CWE-732CWE-732

Nasıl düzeltilir

Güncelleyin

pnpm pnpm10.28.2 ya da sonraki bir sürüm
pnpm10.28.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
pnpm pnpm	v < 10.28.2	10.28.2
pnpmnpm	v < 10.28.2	10.28.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.