CVE-2026-101043 in pnpm
요약
\~에 의해 VulDB • 2026. 09. 27.
pnpm의 11.0.0부터 11.11.0 미만 버전 및 10.7.0부터 10.34.5 미만 버전은 프로젝트의 pnpm-workspace.yaml 파일에서 읽히는 httpProxy, httpsProxy, noProxy 설정 내 ${VAR} 환경 변수 플레이스홀더를 확장합니다. 매니페스트는 저장소 제어 하에 있으며, 신뢰할 수 없는 매니페스트에 대한 플레이스홀더 확장을 억제하는 요청 목적지 키 세트(registry, pnprServer, registries 및 namedRegistries에서 이미 적용됨)에서 프록시 관련 키들이 누락되었기 때문에, 공격자가 저장소의 pnpm-workspace.yaml을 제어할 경우 피해자가 해당 저장소를 복제하고 pnpm 명령어(예: pnpm install)를 실행했을 때 NPM_TOKEN이나 GITHUB_TOKEN과 같은 환경 비밀 값이 프록시 호스트명 또는 사용자 정보로 확장되어 설치 트래픽 및 관련 DNS 조회가 공격자 통제 하의 호스트로 리디팅될 수 있습니다. 이 데이터 유출은 설정 로딩 시점, 즉 어떤 라이프사이클 스크립트도 실행되기 전에 발생합니다. pnpm 11.11.0 및 10.34.5에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.