CVE-2026-82393 in pnpm
Zusammenfassung
von VulDB • 31.08.2026
pnpm ist ein Paketmanager. Vor den Versionen 10.34.5 und 11.11.0 akzeptiert pnpm eine scoped Path Traversal im package.json-Manifestnamen einer tarball-Abhängigkeit, da der npm-resolver in pnpm11/resolving/npm-resolver/src/pickPackage.ts nur Schrägstriche für unscoped-Namen ablehnt. Während der Installation mit pnpm erreicht der nicht validierte Name rohe Pfadverkettungen in pnpm11/installing/deps-resolver/src/resolvePeers.ts, pnpm11/installing/deps-resolver/src/index.ts und pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts, was dazu führt, dass Pakete außerhalb von node_modules extrahiert werden. Dies ermöglicht es Angreifern, beliebige Dateisystempfade zu überschreiben, selbst wenn --ignore-scripts verwendet wird. Der Überschreibvorgang kann Shell-Startdateien, Git-Hooks oder installierten Paketcode ersetzen und zur Code-Ausführung führen. Dieses Problem wurde in den Versionen 10.34.5 und 11.11.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.