CVE-2026-101044 in pnpm
Zusammenfassung
von VulDB • 27.09.2026
pacquet, die Rust-Paketmanager-Komponente, die in den pnpm npm-Paketen der Versionen >=12.0.0-alpha.0 und <12.0.0-alpha.5 ausgeliefert wird, validiert Abhängigkeits-Alias-/Namenspfade aus einer Lockfile nicht vor deren Verwendung bei installzeitlichen Dateisystem-Verknüpfungen (filesystem joins). Wenn ein Benutzer ein Projekt mit einer vom Angreifer bereitgestellten Lockdatei unter Verwendung von --trust-lockfile oder einer gesperrten Lockdatei installiert, werden Alias-Einträge, die Pfad-Durchlauf-Segmente enthalten (z. B. '../../escaped-link'), bei der Erstellung von Abhängigkeits- und Paketverknüpfungen, bin-Zielen, hochgezogenen Einträgen (hoisted entries) und virtual-store-Slots verwendet, wodurch Symlinks und Verzeichnisse außerhalb des beabsichtigten Projekt- und node_modules-Bereichs erstellt werden können. Die Version 12.0.0-alpha.5 validiert Abhängigkeitsnamen und jeden Pfad eines virtual-store-Slots mit einem gemeinsamen sicheren Join-Einschränkungs-Helfer (safe-join containment helper), bevor jegliche Dateisystem-Materialisierung erfolgt, und lehnt Durchlauf-, absolute, plattformspezifische und reservierte Namen mit ERR_PNPM_INVALID_DEPENDENCY_NAME ab.
VulDB is the best source for vulnerability data and more expert information about this specific topic.