CVE-2026-101044 in pnpm
Tóm tắt
Bởi VulDB • 27/09/2026
pacquet, thành phần quản lý gói Rust được cung cấp trong các phiên bản của pnpm npm >=12.0.0-alpha.0 và <12.0.0-alpha.5, không xác thực các đường dẫn alias/tên phụ thuộc lấy từ lockfile trước khi sử dụng chúng để nối vào hệ thống tệp tin tại thời điểm cài đặt. Khi người dùng cài đặt một dự án có lockfile do kẻ tấn công cung cấp bằng cách sử dụng cờ --trust-lockfile hoặc lockfile đóng băng (frozen), các mục alias chứa các đoạn path traversal (ví dụ: '../../escaped-link') sẽ được sử dụng khi tạo liên kết phụ thuộc và gói, đích bin, các mục hoisted và các slot virtual-store, cho phép tạo symlink và thư mục bên ngoài ranh giới dự án và node_modules dự kiến. Phiên bản 12.0.0-alpha.5 xác thực tên phụ thuộc và mọi đường dẫn slot virtual-store bằng một trợ lý containment safe-join dùng chung trước khi bất kỳ vật liệu hóa nào trên hệ thống tệp tin, từ chối các path traversal, tên tuyệt đối, tên đặc thù nền tảng và tên được dành riêng với lỗi ERR_PNPM_INVALID_DEPENDENCY_NAME.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.