CVE-2026-101044 in pnpm
Sumário
de VulDB • 27/09/2026
pacquet, o componente do gerenciador de pacotes Rust distribuído nas versões >=12.0.0-alpha.0 e <12.0.0-alpha.5 do pacote npm pnpm, não valida os caminhos de alias/nome das dependências obtidos a partir de um lockfile antes de utilizá-los em junções no sistema de arquivos durante a instalação. Quando um usuário instala um projeto com um lockfile fornecido por um atacante usando --trust-lockfile ou um lockfile congelado (frozen), entradas de alias contendo segmentos de traversal de caminho (por exemplo, '../../escaped-link') são usadas ao criar links de dependência e pacotes, destinos binários, entradas hoisted e slots do virtual-store, permitindo que symlinks e diretórios sejam criados fora dos limites pretendidos do projeto e da pasta node_modules. A versão 12.0.0-alpha.5 valida os nomes das dependências e cada caminho de slot do virtual-store com um helper compartilhado seguro para junção (safe-join containment) antes de qualquer materialização no sistema de arquivos, rejeitando traversal, caminhos absolutos, nomes específicos da plataforma e reservados com ERR_PNPM_INVALID_DEPENDENCY_NAME.
If you want to get best quality of vulnerability data, you may have to visit VulDB.