CVE-2026-101044 in pnpm
Сводка
по VulDB • 27.09.2026
pacquet, компонент менеджера пакетов Rust, поставляемый в составе пакета pnpm npm версий >=12.0.0-alpha.0 и <12.0.0-alpha.5, не проверяет пути псевдонимов/имен зависимостей, полученные из файла блокировки (lockfile), перед их использованием при операциях объединения путей файловой системы во время установки. Когда пользователь устанавливает проект с предоставленным злоумышленником файлом блокировки, используя флаг --trust-lockfile или замороженный файл блокировки (frozen lockfile), записи псевдонимов, содержащие сегменты обхода каталогов (например, '../../escaped-link'), используются при создании ссылок на зависимости и пакеты, точек назначения бинарных файлов (bin destinations), поднятых записей (hoisted entries) и слотов виртуального хранилища (virtual-store slots). Это позволяет создавать символические ссылки и каталоги вне предполагаемых границ проекта и node_modules. Версия 12.0.0-alpha.5 проверяет имена зависимостей и пути каждого слота виртуального хранилища с использованием общего безопасного помощника для объединения путей (safe-join containment helper) перед любой материализацией файлов, отклоняя обходные каталоги, абсолютные пути, специфичные для платформы имена и зарезервированные имена с выдачей ошибки ERR_PNPM_INVALID_DEPENDENCY_NAME.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.