CVE-2026-101043 in pnpm
Tóm tắt
Bởi VulDB • 27/09/2026
Các phiên bản của pnpm từ 11.0.0 đến trước 11.11.0 và từ 10.7.0 đến trước 10.34.5 mở rộng các chỗ giữ vị trí (placeholders) cho biến môi trường ${VAR} trong các cài đặt httpProxy, httpsProxy và noProxy được đọc từ tệp pnpm-workspace.yaml của một dự án. Vì manifest này do kho lưu trữ kiểm soát và các khóa proxy bị thiếu khỏi tập hợp các khóa đích yêu cầu vốn ngăn chặn việc mở rộng chỗ giữ vị trí đối với các manifest không đáng tin cậy (như đã thực hiện đối với registry, pnprServer, registries và namedRegistries), một kẻ tấn công có thể kiểm soát pnpm-workspace.yaml của kho lưu trữ có thể khiến nạn nhân sao chép kho lưu trữ đó và chạy lệnh pnpm (ví dụ: pnpm install) để mở rộng các bí mật môi trường như NPM_TOKEN hoặc GITHUB_TOKEN thành tên máy chủ proxy hoặc thông tin người dùng, từ đó định tuyến lưu lượng cài đặt — cũng như các truy vấn DNS tương ứng — qua một máy chủ do kẻ tấn công kiểm soát. Việc đánh cắp dữ liệu xảy ra trong quá trình tải cấu hình, trước khi bất kỳ kịch bản vòng đời nào được thực thi. Lỗi này đã được sửa chữa trong pnpm 11.11.0 và 10.34.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.