CVE-2026-101043 in pnpm
Zusammenfassung
von VulDB • 27.09.2026
pnpm-Versionen vor 11.11.0 (ab 11.0.0) und vor 10.34.5 (ab 10.7.0) erweitern ${VAR}-Umgebungsvariablen-Platzhalter in den httpProxy-, httpsProxy- und noProxy-Einstellungen, die aus der pnpm-workspace.yaml eines Projekts gelesen werden. Da das Manifest repositorykontrolliert ist und die Proxy-Schlüssel von der Menge der request-destination-Schlüssel ausgeschlossen wurden (die sonst die Platzhaltererweiterung für nicht vertrauenswürdige Manifeste unterdrückt – wie dies bereits für registry, pnprServer, registries und namedRegistries erfolgt), kann ein Angreifer, der die pnpm-workspace.yaml eines Repositories kontrolliert, dazu führen, dass ein Opfer, das das Repository auscheckt (klont) und einen pnpm-Befehl (z. B. `pnpm install`) ausführt, Umgebungsgeheimnisse wie NPM_TOKEN oder GITHUB-Token in einen Proxy-Hostnamen oder userinfo erweitert und den Installationsverkehr – sowie die entsprechenden DNS-Lookups – über einen vom Angreifer kontrollierten Host leitet. Die Datenexfiltration erfolgt während des Konfigurationsladens, bevor irgendein Lifecycle-Skript ausgeführt wird. Behoben in pnpm 11.11.0 und 10.34.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.