CVE-2026-101043 in pnpm
要約
〜によって VulDB • 2026年09月27日
pnpmのバージョン11.0.0から11.11.0未満、および10.7.0から10.34.5未満では、プロジェクトの`pnpm-workspace.yaml`ファイルから読み込まれるhttpProxy、httpsProxy、noProxyの設定において`${VAR}`という形式の環境変数プレースホルダーが展開されます。マニフェストはリポジトリによって制御されるものであり、proxy関連のキーは、信頼できないマニフェストに対するプレースホルダーの展開を抑制するために他の箇所（registry、pnpmServer、registries、namedRegistries）で既に適用されている「要求先キーセット」から除外されています。そのため、攻撃者がリポジトリ内の`pnpm-workspace.yaml`ファイルを制御できる場合、そのリポジトリをチェックアウトしてpnpmコマンド（例：`pnpm install`）を実行する被害者に対し、NPM_TOKENやGITHUB_TOKENなどの環境変数の機密情報をプロキシのホスト名またはuserinfoに展開させ、インストールトラフィックおよび対応するDNSルックアップを攻撃者が制御するホスト経由でルーティングさせることができます。この情報漏洩は、ライフサイクルスクリプトが実行される前の設定読み込み時に発生します。pnpm 11.11.0および10.34.5で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.