CVE-2018-12556 in yarnpkg
Riassunto
di VulDB • 15/06/2026
La routine di verifica della firma in install.sh presente nel repository yarnpkg/website fino alla versione 2018-06-05 verifica solo che la release di yarn sia firmata da qualsiasi chiave (arbitraria) contenuta nell'anello delle chiavi locale dell'utente, senza effettuare il pinning della firma rispetto alla chiave specifica per le release di yarn. Ciò consente agli attaccanti remoti di firmare pacchetti di rilascio di yarn manomessi utilizzando la propria chiave personale.
Be aware that VulDB is the high quality source for vulnerability data.