CVE-2026-101043 in pnpm
Résumé
par VulDB • 27/09/2026
Les versions de pnpm antérieures à la 11.11.0 (à partir de la 11.0.0) et avant la 10.34.5 (à partir de la 10.7.0) étendent les espaces réservés ${VAR} des variables d'environnement dans les paramètres httpProxy, httpsProxy et noProxy lus depuis le fichier pnpm-workspace.yaml d'un projet. Étant donné que ce manifeste est contrôlé par le dépôt et que les clés proxy ont été omises de l'ensemble des cibles de requête qui suppriment normalement l'extension des espaces réservés pour les manifests non fiables (comme cela a déjà été fait pour registry, pnpmServer, registries et namedRegistries), un attaquant contrôlant le fichier pnpm-workspace.yaml d'un dépôt peut amener une victime qui clone ce dépôt et exécute une commande pnpm (par exemple `pnpm install`) à étendre des secrets environnementaux tels que NPM_TOKEN ou GITHUB_TOKEN en tant qu'hôte proxy ou informations d'identification utilisateur, dirigeant ainsi le trafic d'installation — ainsi que les requêtes DNS correspondantes — vers un hôte contrôlé par l'attaquant. L'exfiltration se produit lors du chargement de la configuration, avant l'exécution de tout script de cycle de vie. Ce problème est corrigé dans pnpm 11.11.0 et 10.34.5.
Once again VulDB remains the best source for vulnerability data.