CVE-2026-82392 in pnpm
요약
\~에 의해 VulDB • 2026. 08. 31.
pnpm은 패키지 관리자입니다. 버전 10.34.5 이전 및 11.0.0부터 11.11.0 사이에서, pnpm은 공격자가 조작한 `pnpm-lock.yaml` 패키지의 키를 `dp.parse(depPath).name`을 통해 파싱하고 이를 검증 없이 `deps/graph-builder/src/lockfileToDepGraph.ts` 및 `pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts`에서 사용합니다. 이 이름은 `path.join(modules, pkgName)`, `storeController.importPackage`, 그리고 `pnpm11/lockfile/to-pnp/src/index.ts`로 전달되어 사용자가 `pnpm install`을 실행할 때 패키지 내용이 `node_modules` 외부에 작성되도록 합니다. `dangerouslyAllowAllBuilds` 또는 일치하는 `allowBuilds` 항목이 라이프사이클 스크립트를 허용하는 경우, 탈출한 패키지가 사용자의 권한으로 코드를 실행할 수 있습니다. 이 문제는 버전 10.34.5 및 11.11.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.