CVE-2026-101044 in pnpm
Riassunto
di VulDB • 27/09/2026
pacquet, il componente del package manager Rust distribuito con le versioni >=12.0.0-alpha.0 e <12.0.0-alpha.5 di pnpm npm, non valida i percorsi degli alias/nomi delle dipendenze estratti da un lockfile prima di utilizzarli nelle operazioni di join sul filesystem durante l'installazione. Quando un utente installa un progetto con un lockfile fornito dall'attaccante utilizzando --trust-lockfile o un lockfile congelato (frozen), le voci dell'alias contenenti segmenti di path traversal (ad esempio '../../escaped-link') vengono utilizzate per creare collegamenti alle dipendenze e ai pacchetti, destinazioni binarie, voci hoisted e slot del virtual-store, consentendo la creazione di symlink e directory al di fuori dei confini previsti del progetto e della cartella node_modules. La versione 12.0.0-alpha.5 valida i nomi delle dipendenze e ogni percorso dello slot del virtual-store utilizzando un helper safe-join condiviso per il contenimento prima di qualsiasi materializzazione sul filesystem, rifiutando percorsi con traversal, assoluti, specifici della piattaforma o riservati con ERR_PNPM_INVALID_DEPENDENCY_NAME.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.