CVE-2026-101044 in pnpm
सारांश
द्वारा VulDB • 28/09/2026
pacquet, जो pnpm npm पैकेज के संस्करण >=12.0.0-alpha.0 और <12.0.0-alpha.5 में शामिल Rust package-manager component है, install-time filesystem joins का उपयोग करने से पहले lockfile से लिए गए dependency alias/name paths को सत्यापित नहीं करता है। जब कोई उपयोगकर्ता --trust-lockfile या एक frozen lockfile के साथ attacker-supplied lockfile वाले प्रोजेक्ट की स्थापना करता है, तो path traversal segments (उदाहरण के लिए '../../escaped-link') युक्त alias entries का उपयोग dependency और package links, bin destinations, hoisted entries, और virtual-store slots बनाते समय किया जाता है, जिससे symlinks और directories को intended project और node_modules boundary से बाहर बनाया जा सकता है। संस्करण 12.0.0-alpha.5 shared safe-join containment helper के साथ dependency names और हर virtual-store slot path का सत्यापन करता है filesystem materialization से पहले, traversal, absolute, platform-specific, और reserved names को ERR_PNPM_INVALID_DEPENDENCY_NAME के साथ अस्वीकार कर देता है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.