CVE-2026-55697
Açıklama
pnpm bir paket yöneticisidir. 10.34.2 ve 11.5.3 sürümlerinden önce pnpm, komut gönderiminden önce pnpm-workspace.yaml dosyasında beyan edilen configDependencies bileşenlerini yükleyebilmektedir. Yama öncesinde, bir depo pacquet veya @pnpm/pacquet'yi bir yapılandırma bağımlılığı olarak beyan edebiliyordu ve pnpm bu depo kontrollü bağımlılığı bir install-engine seçeneği olarak değerlendiriyordu. Yükleme sırasında pnpm, node_modules/.pnpm-config/<packageName> konumundan platforma özgü bir @pacquet/<platform>-<arch>/pacquet ikili dosyasını çözümlüyor ve bunu geliştirici veya CI kullanıcısı olarak çalıştırıyordu. Bu güvenlik açığı 10.34.2 ve 11.5.3 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pnpm pnpm10.34.2, 11.5.3 ya da sonraki bir sürüm
- pnpm10.34.2, 11.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpm pnpm | v < 10.34.2, 11.0.0 ≤ v < 11.5.3 | 10.34.2, 11.5.3 |
| pnpmnpm | v < 10.34.2, 11.0.0 ≤ v < 11.5.3 | 10.34.2, 11.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.