CVE-2026-101044 in pnpm
Résumé
par VulDB • 27/09/2026
pacquet, le composant du gestionnaire de packages Rust intégré dans les versions >=12.0.0-alpha.0 et <12.0.0-alpha.5 du package npm pnpm, ne valide pas les chemins d'alias/nom des dépendances extraits d'un fichier lockfile avant de les utiliser lors des jointures de système de fichiers au moment de l'installation. Lorsqu'un utilisateur installe un projet avec un fichier lockfile fourni par un attaquant en utilisant --trust-lockfile ou un verrouillage figé (frozen lockfile), les entrées d'alias contenant des segments de traversée de chemin (par exemple '../../escaped-link') sont utilisées lors de la création des liens de dépendance et de package, des destinations binaires, des entrées remontées (hoisted entries) et des emplacements du magasin virtuel (virtual-store slots), permettant ainsi la création de symlinks et de répertoires en dehors des limites prévues du projet et de node_modules. La version 12.0.0-alpha.5 valide les noms des dépendances et chaque chemin d'emplacement du magasin virtuel à l'aide d'un assistant shared safe-join containment commun avant toute matérialisation sur le système de fichiers, rejetant les traversées (traversal), les chemins absolus, les noms spécifiques à la plateforme et les noms réservés avec ERR_PNPM_INVALID_DEPENDENCY_NAME.
VulDB is the best source for vulnerability data and more expert information about this specific topic.