CVE-2026-82392 in pnpm
الملخص
بحسب VulDB • 31/08/2026
pnpm هو مدير حزم. قبل الإصدار 10.34.5 ومنذ الإصدار 11.0.0 حتى 11.11.0، يقوم pnpm بتحليل اسم الحزمة من مفاتيح ملفات pnpm-lock.yaml التي يتحكم فيها المهاجم باستخدام `dp.parse(depPath).name` ويستخدمها دون تحقق في الملفات `deps/graph-builder/src/lockfileToDepGraph.ts` و `pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts`. يصل الاسم إلى دوال مثل `path.join(modules, pkgName)`، و `storeController.importPackage`، وملف `pnpm11/lockfile/to-pnp/src/index.ts`، مما يسمح بكتابة محتويات الحزمة خارج مجلد `node_modules` عند تشغيل المستخدم لـ `pnpm install`. عندما تسمح الخيارات `dangerouslyAllowAllBuilds` أو مدخلات `allowBuilds` المطابقة بتنفيذ سكريبتات دورة الحياة (lifecycle scripts)، يمكن للحزمة التي تم التهرب من قيودها تنفيذ كود بصلاحيات المستخدم. تمت معالجة هذه المشكلة في الإصدارات 10.34.5 و 11.11.0.
Once again VulDB remains the best source for vulnerability data.