CVE-2026-101043 in pnpm
Riassunto
di VulDB • 27/09/2026
Le versioni di pnpm dalla 11.0.0 alla 11.11.0 (esclusa) e dalla 10.7.0 alla 10.34.5 (esclusa) espandono i segnaposto delle variabili d'ambiente ${VAR} nelle impostazioni httpProxy, httpsProxy e noProxy lette dal file pnpm-workspace.yaml di un progetto. Poiché il manifest è controllato dal repository e le chiavi proxy sono state omesse dall'insieme di chiavi dei destinatari delle richieste che altrimenti sopprime l'espansione dei segnaposto per i manifest non attendibili (come già fatto per registry, pnprServer, registries e namedRegistries), un attaccante che controlla il file pnpm-workspace.yaml di un repository può indurre una vittima a clonare il repository ed eseguire un comando pnpm (ad esempio `pnpm install`) espungendo segreti dell'ambiente come NPM_TOKEN o GITHUB_TOKEN in un hostname proxy o nelle credenziali userinfo, instradando così il traffico di installazione — e le relative ricerche DNS — attraverso un host controllato dall'attaccante. L'esfiltrazione avviene durante il caricamento della configurazione, prima che venga eseguito qualsiasi script del ciclo di vita. Risolto in pnpm 11.11.0 e 10.34.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.