CVE-2026-50573
Açıklama
pnpm bir paket yöneticisidir. 10.34.0 ve 11.4.0 sürümlerinden önce, dondurulmamış moddaki `pnpm install`, indirilen tarball dosyasının pnpm-lock.yaml dosyasında kayıtlı olan bütünlükle eşleşmediğini tespit ettikten sonra yeni uzak paket içeriğini kabul edebilmektedir. Bir paket halihazırda bir bütünlük değeriyle kilitlendiğinde ve kayıt defteri daha sonra aynı paket adı ve sürümü için farklı meta veriler ile tarball içeriği sunduğunda, pnpm başlangıçta bir bütünlük uyuşmazlığı bildirir. Ancak, standart pnpm install işlemi ardından bir çözüm onarımı gerçekleştirir, kayıt defterinin yeni bütünlüğünü kabul eder, kilit dosyasını günceller, yeni içeriği yükler ve başarıyla sonlanır. Bu durum, kilit dosyası bütünlük kontrolünün varsayılan olarak kesin bir durdurucu görevi görmediği anlamına gelir. Bu güvenlik açığı 10.34.0 ve 11.4.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pnpm pnpm10.34.0, 11.4.0 ya da sonraki bir sürüm
- pnpm10.34.0, 11.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
| pnpmnpm | v < 10.34.0, 11.0.0 ≤ v < 11.4.0 | 10.34.0, 11.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.