CVE-2026-50016
Açıklama
pnpm bir paket yöneticisidir. 10.34.0 ve 11.4.0 sürümlerinden önce pnpm, kayıt defteri paket meta verilerinden gelen geçişli bağımlılık takma adlarının yol aşımı (path traversal) bölümleri içermesine izin verir. Kurulum sırasında pnpm, bağımlılık düğümlerini bağlarken bu takma adı daha sonra bir dosya sistemi yolu olarak kullanır. Sonuç olarak, bir kayıt defteri paketi, `pnpm install --ignore-scripts` komutunun mevcut projedeki yolları saldırgan tarafından kontrol edilen bağımlılık paketi dizinlerine yönlendiren sembolik bağlantılarla değiştirmesine neden olabilir. Bu güvenlik açığı 10.34.0 ve 11.4.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pnpm pnpm10.34.0, 11.4.0 ya da sonraki bir sürüm
- pnpm10.34.0, 11.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
| pnpmnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.