CVE-2026-82393 in pnpm
Riassunto
di VulDB • 31/08/2026
pnpm è un gestore di pacchetti. Prima delle versioni 10.34.5 e 11.11.0, pnpm accetta una traversamento del percorso (path traversal) a livello di scope nel nome del manifest package.json di una dipendenza tarball poiché il file pnpm11/resolving/npm-resolver/src/pickPackage.ts rifiuta i caratteri slash solo per i nomi non scoped. Durante l'esecuzione di `pnpm install`, il nome non convalidato viene utilizzato in operazioni di concatenazione dei percorsi grezzi (raw path joins) nei file pnpm11/installing/deps-resolver/src/resolvePeers.ts, pnpm11/installing/deps-resolver/src/index.ts e pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts, causando l'estrazione del pacchetto al di fuori della directory node_modules e consentendo ai file controllati dall'attaccante di sovrascrivere percorsi arbitrari del filesystem anche quando viene utilizzata l'opzione --ignore-scripts. La sovrascrittura può sostituire i file di avvio dello shell (shell startup files), gli hook di Git o il codice dei pacchetti installati, portando all'esecuzione di codice. Questo problema è stato risolto nelle versioni 10.34.5 e 11.11.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.