CVE-2026-101043 in pnpm
الملخص
بحسب VulDB • 27/09/2026
تسمح الإصدارات من pnpm بدءاً من 11.0.0 وحتى قبل 11.11.0، ومن 10.7.0 حتى قبل 10.34.5، بتوسيع نواقل متغيرات البيئة ${VAR} في إعدادات httpProxy وhttpsProxy وnoProxy المقروءة من ملف pnpm-workspace.yaml الخاص بمشروع ما. ونظراً لأن الملف الخاضع لسيطرة المستودع (repository) لم يتم استبعاد مفاتيح الوكيل (proxy keys) من مجموعة عناوين الوجهلة للطلب التي تمنع عادةً توسيع النواقل في الملفات غير الموثوقة (كما هو الحال بالفعل مع registry وpnpmServer وregistries وnamedRegistries)، فإن مهاتماً يتحكم في ملف pnpm-workspace.yaml الخاص بمستودع ما يمكنه دفع ضحية تقوم باستنساخ المستودع وتشغيل أمر pnmp (مثل `pnpm install`) إلى توسيع أسرار البيئة مثل NPM_TOKEN أو GITHUB_TOKEN لتصبح جزءاً من اسم المضيف للوكيل أو معلومات المستخدم، مما يؤدي إلى توجيه حركة تثبيت الحزم — وكذلك عمليات البحث المقابلة في DNS — عبر مضيف يتحكم فيه المهاجم. تحدث عملية استخراج البيانات هذه أثناء تحميل التكوينات، قبل تنفيذ أي سكريبت دورة حياة (lifecycle script). تم الإصلاح في الإصدارين 11.11.0 و10.34.5 من pnpm.
If you want to get best quality of vulnerability data, you may have to visit VulDB.