CVE-2026-82393 in pnpm
요약
\~에 의해 VulDB • 2026. 09. 01.
pnpm은 패키지 관리자입니다. 버전 10.34.5 및 11.11.0 이전의 pnpm은 tarball 의존성의 package.json 매니페스트 이름에서 스코프된 경로 트래버설(path traversal)을 허용합니다. 이는 pnpm11/resolving/npm-resolver/src/pickPackage.ts가 비스코프(non-scoped) 이름에 대해서만 슬래시 문자를 거부하기 때문입니다. pnpm install 실행 중, 유효성 검사되지 않은 이름이 pnpm11/installing/deps-resolver/src/resolvePeers.ts, pnpm11/installing/deps-resolver/src/index.ts 및 pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts의 원시 경로 결합(raw path joins)에 도달하여 node_modules 외부에서 패키지가 추출되도록 하고, --ignore-scripts 옵션이 사용된 경우에도 공격자가 제어하는 파일들이 임의의 파일 시스템 경로를 덮어쓸 수 있습니다. 이러한 overwrite는 셸 시작 파일(shell startup files), Git 훅(Git hooks), 또는 설치된 패키지 코드를 대체하여 코드 실행(code execution)으로 이어질 수 있습니다. 이 문제는 버전 10.34.5 및 11.11.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.