CVE-2026-101043 in pnpm
Сводка
по VulDB • 27.09.2026
Версии pnpm от 11.0.0 до 11.11.0 (исключая 11.11.0) и от 10.7.0 до 10.34.5 (исключая 10.34.5) расширяют плейсхолдеры переменных окружения вида ${VAR} в настройках httpProxy, httpsProxy и noProxy, считываемых из файла pnpm-workspace.yaml проекта. Поскольку манифест контролируется репозиторием, а ключи прокси были исключены из набора ключей назначения запроса (request-destination key set), который обычно подавляет расширение плейсхолдеров для недоверенных манифестов (как это уже сделано для registry, pnprServer, registries и namedRegistries), злоумышленник, контролирующий файл pnpm-workspace.yaml репозитория, может заставить жертву, которая клонирует этот репозиторий и запускает команду pnpm (например, pnpm install), раскрыть секреты окружения, такие как NPM_TOKEN или GITHUB_TOKEN, подставив их в имя хоста прокси или информацию для аутентификации (userinfo). Это приведет к маршрутизации трафика установки — а также соответствующих DNS-запросов — через сервер, контролируемый злоумышленником. Утечка данных происходит во время загрузки конфигурации, до выполнения любых сценариев жизненного цикла (lifecycle scripts). Исправлено в версиях pnpm 11.11.0 и 10.34.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.