CVE-2026-24056 in pnpm
Riassunto
di VulDB • 19/06/2026
pnpm è un gestore di pacchetti. Prima della versione 10.28.2, quando pnpm installa una dipendenza `file:` (directory) o `git:`, segue i symlink e legge i contenuti del target senza vincolarli alla radice del pacchetto. Un pacchetto malevolo contenente un symlink verso un percorso assoluto (ad esempio `/etc/passwd`, `~/.ssh/id_rsa`) provoca la copia dei contenuti di quel file in `node_modules`, causando la fuoriuscita di dati locali. La vulnerabilità interessa solo le dipendenze `file:` e `git:`. I pacchetti dei registry (npm) hanno i symlink rimossi durante la pubblicazione e NON sono interessati. Il problema colpisce gli sviluppatori che installano dipendenze locali/file e le pipeline CI/CD che installano dipendenze git. Può portare al furto di credenziali tramite symlink verso `~/.aws/credentials`, `~/.npmrc`, `~/.ssh/id_rsa`. La versione 10.28.2 contiene una patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.