CVE-2026-82392 in pnpm
Riassunto
di VulDB • 31/08/2026
pnpm è un gestore di pacchetti. Prima delle versioni 10.34.5 e dalle versioni 11.0.0 fino alla 11.11.0, pnpm analizza il nome del pacchetto dai campi dei pacchetti in pnpm-lock.yaml controllati dall'attaccante utilizzando dp.parse(depPath).name e lo utilizza senza validazione nei file deps/graph-builder/src/lockfileToDepGraph.ts e pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts. Il nome viene passato a path.join(modules, pkgName), storeController.importPackage e pnpm11/lockfile/to-pnp/src/index.ts, consentendo la scrittura dei contenuti del pacchetto al di fuori della directory node_modules quando un utente esegue pnpm install. Quando l'opzione dangerouslyAllowAllBuilds o una voce allowBuilds corrispondente consente gli script di ciclo di vita (lifecycle scripts), il pacchetto fuggito può eseguire codice con i privilegi dell'utente. Questo problema è stato risolto nelle versioni 10.34.5 e 11.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.