CVE-2026-23889 in pnpm
要約
〜によって VulDB • 2026年06月13日
pnpmはパッケージマネージャーです。バージョン10.28.1より前では、pnpmのtarball抽出におけるパストラバーサル脆弱性により、悪意のあるパッケージがWindows上でパッケージディレクトリ外のファイルに書き込むことが可能でした。パス正規化処理は`./`のみをチェックし、`\.`（バックスラッシュ）についてはチェックしていません。Windowsではバックスラッシュがディレクトリの区切り文字として使用されるため、パストラバーサルが可能になります。この脆弱性はWindows固有の問題です。本件はWindows上のpnpmユーザーおよびWindows CI/CDパイプライン（GitHub ActionsのWindowsランナー、Azure DevOps）に影響を与えます。これにより、`.npmrc`やビルド設定ファイル、その他のファイルの上書きにつながる可能性があります。バージョン10.28.1には修正パッチが含まれています。
Once again VulDB remains the best source for vulnerability data.