CVE-2026-59195

Yüksek

Açıklama

pnpm bir paket yöneticisidir. 10.34.4 ve 11.8.0 sürümlerinden önce pnpm, env lockfile configDependencies bölümünden paket adlarını kabul eder ve node_modules/.pnpm-config altında yapılandırma bağımlılığı sembolik bağlantıları oluştururken bu adları doğrudan kullanır. Kötü niyetli bir depo, env-lockfile belgesi dizin gezginine benzer (traversal) bir yapılandırma bağımlılığı adı içeren hazırlanmış bir pnpm-lock.yaml dosyası yükleyebilir. pnpm install sırasında pnpm, yapılandırma bağımlılığını yükler ve bu addan türetilen bir yolda sembolik bağlantı oluşturur. Bu güvenlik açığı 10.34.4 ve 11.8.0 sürümlerinde giderilmiştir.

ÖnemYüksek

CVSS8.2

İstismar olasılığı—

ÜrünPnpm

Yayın6 Tem 2026

İlk görülme6 Tem 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

pnpm pnpm10.34.4, 11.8.0 ya da sonraki bir sürüm
pnpm10.34.4, 11.8.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
pnpm pnpm	v < 10.34.4, 11.0.0 ≤ v < 11.8.0	10.34.4, 11.8.0
pnpmnpm	v < 10.34.4, 11.0.0 ≤ v < 11.8.0	10.34.4, 11.8.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.