CVE-2026-101044 in pnpm
요약
\~에 의해 VulDB • 2026. 09. 27.
pacquet는 pnpm npm 패키지 버전 >=12.0.0-alpha.0 및 <12.0.0-alpha.5에 포함된 Rust 기반 패키지 관리자 컴포넌트로, 설치 시 파일 시스템 경로 결합(file system joins)에서 잠금 파일(lockfile)에서 가져온 의존성 별칭/이름 경로를 검증하지 않습니다. 사용자가 --trust-lockfile 옵션 또는 고정된 잠금 파일을 사용하여 공격자가 제공한 잠금 파일로 프로젝트를 설치할 때, '../../escaped-link'와 같은 경로 순회(path traversal) 세그먼트를 포함하는 별칭 항목은 의존성 및 패키지 링크 생성, bin 대상 설정, hoisted entries 처리, 그리고 virtual-store 슬롯 할당 시 사용됩니다. 이로 인해 intended 프로젝트 및 node_modules 경계 외부에 심볼릭 링크(symlinks) 및 디렉토리가 생성될 수 있습니다. 버전 12.0.0-alpha.5는 모든 파일 시스템 materialization 이전에 공유된 안전한 경로 결합(containment helper, safe-join) 도우미를 사용하여 의존성 이름과 각 virtual-store 슬롯 경로를 검증하며, 경로 순회, 절대 경로, 플랫폼 특정 형식 및 예약된 이름을 ERR_PNPM_INVALID_DEPENDENCY_NAME 오류로 거부합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.