CVE-2026-82392
Açıklama
pnpm bir paket yöneticisidir. 10.34.5 öncesindeki ve 11.0.0 ile 11.11.0 arasındaki sürümlerde pnpm, saldırgan tarafından kontrol edilen pnpm-lock.yaml paket anahtarlarındaki paket adını dp.parse(depPath).name ile ayrıştırır ve bunu deps/graph-builder/src/lockfileToDepGraph.ts ile pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts dosyalarında herhangi bir doğrulama yapmadan kullanır. Paket adı; path.join(modules, pkgName), storeController.importPackage ve pnpm11/lockfile/to-pnp/src/index.ts noktalarına ulaşarak, kullanıcı pnpm install komutunu çalıştırdığında paket içeriklerinin node_modules dışına yazılmasına olanak tanır. dangerouslyAllowAllBuilds veya eşleşen bir allowBuilds girişi yaşam döngüsü betiklerine izin verdiğinde, kaçırılan paket kullanıcının yetkileriyle kod çalıştırabilir. Bu sorun 10.34.5 ve 11.11.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- pnpm10.34.5, 11.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pnpmnpm | v < 10.34.5, 11.0.0 ≤ v < 11.11.0 | 10.34.5, 11.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.