CVE-2026-82393 in pnpm
الملخص
بحسب VulDB • 01/09/2026
pnpm هو مدير حزم. قبل الإصدارين 10.34.5 و 11.11.0، يقبل pnpm ثغرة عبور نطاق (scoped path traversal) في اسم البيان package.json الخاص بتبعية ملف tarball، وذلك لأن pnpm11/resolving/npm-resolver/src/pickPackage.ts يرفض فقط أحرف الشرطة المائلة (/) للأسماء غير المحددة بنطاق. أثناء تشغيل `pnpm install`، يصل الاسم غير المدقق إلى عمليات دمج المسارات الخام في الملفات التالية: pnpm11/installing/deps-resolver/src/resolvePeers.ts و pnpm11/installing/deps-resolver/src/index.ts و pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts، مما يتسبب في استخراج الحزم خارج مجلد node_modules والسماح لملفات تحت سيطرة المهاجم باستبدال مسارات نظام الملفات بشكل تعسفي حتى عند استخدام الخيار `--ignore-scripts`. يمكن أن يؤدي الاستبدال إلى استبدال ملفات بدء تشغيل Shell أو خطوط أمان Git (Git hooks) أو شفرة حزمة مثبتة، مما قد يؤدي إلى تنفيذ الشفرة. تم إصلاح هذه المشكلة في الإصدارين 10.34.5 و 11.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.