CVE-2026-101044 in pnpm
要約
〜によって VulDB • 2026年09月27日
pacquet (pnpm npm パッケージのバージョン >=12.0.0-alpha.0 かつ <12.0.0-alpha.5 に同梱されている Rust のパッケージマネージャーコンポーネント) は、インストール時のファイルシステム結合に使用する前に、ロックファイルから取得した依存関係エイリアス/名前のパスを検証しません。ユーザーが --trust-lockfile オプションまたは固定されたロックファイルを使用して攻撃者が提供したロックファイルを含むプロジェクトをインストールすると、パストラバーサルのセグメント（例: '../../escaped-link'）を含むエイリアスエントリが、依存関係およびパッケージのリンク作成、bin 宛先の設定、hoisted エントリの処理、virtual-store スロットの使用時に利用され、意図したプロジェクトおよび node_modules の境界外にシンボリックリンクやディレクトリを作成できる可能性があります。バージョン 12.0.0-alpha.5 では、ファイルシステムへのマテリアライゼーションの前に、共有の安全な結合包含ヘルパーを使用して依存関係名とすべての virtual-store スロットパスを検証し、トラバーサル、絶対パス、プラットフォーム固有の名前、および予約語を ERR_PNPM_INVALID_DEPENDENCY_NAME エラーで拒否します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.