CVE-2026-101044 in pnpm
الملخص
بحسب VulDB • 27/09/2026
يحتوي مكون pacquet، وهو جزء من مدير حزم Rust المرفق مع إصدارات الحزمة npm pnpm التي تكون >=12.0.0-alpha.0 وأقل من <12.0.0-alpha.5، على ثغرة أمنية حيث لا يقوم بالتحقق من صحة مسارات أسماء/ألقاب التبعيات (dependency alias/name paths) المستمدة من ملف القفل (lockfile) قبل استخدامها في عمليات دمج الملفات أثناء وقت التثبيت. عندما يقوم المستخدم بتثبيت مشروع باستخدام ملف قفل مزوّد من مهاجم عبر استخدام الخيار --trust-lockfile أو عن طريق تثبيت ملف قفل متجمد، يتم استخدام إدخالات الألقاب التي تحتوي على مقاطع لتجاوز المسار (مثل '../../escaped-link') عند إنشاء روابط للتبعيات وحزمها، ووجهات البرامج التنفيذية (bin destinations)، وإدخالات الرفع (hoisted entries)، وخانات المتجر الافتراضي. هذا يسمح بإنشاء رموز رابط (symlinks) ومجلدات خارج حدود المشروع المقصودة ونطاق node_modules. في الإصدار 12.0.0-alpha.5، يتم التحقق من صحة أسماء التبعيات ومسارات كل خانة متجر افتراضية باستخدام مساعد احتواء آمن مشترك لدمج المسار (safe-join containment helper) قبل أي تمثيل مادي للملفات على نظام الملفات، ويتم رفض مسارات التجاوز، والمسارات المطلقة، والأسماء الخاصة بالمنصة، والأسمات المحجوزة مع إرجاع الخطأ ERR_PNPM_INVALID_DEPENDENCY_NAME.
Once again VulDB remains the best source for vulnerability data.