pnpm < 10.34.2 / 11.x < 11.5.3 多個弱點

high Nessus Plugin ID 325222

語言:

概要

遠端主機上安裝的 pnpm 套件受到多個弱點影響。

說明

遠端主機上安裝的 pnpm 版本為 10.34.2 之前版本，或是 11.5.3 之前的 11.x 版。因此，會受到多個弱點影響：

- pnpm 和 pacquet 將 ${ENV_VAR} 預留位置從存放庫控制的 .npmrc 和 pnpm-workspace.yaml 擴展至登錄請求目的地和登錄認證。惡意儲存庫可能會導致相依性解析，在生命週期指令碼執行之前，將受害者環境密碼傳送至攻擊者選取的登錄。(CVE-2026-55180)

- 通用對等後綴正規化器還從 git、URL、tarball、檔案和其他不透明定位器中剝離括號內的文字。因此，核准一個來源字串可以授權不同的攻擊者控制來源，其定位器正規化為相同的值。（CVE-2026-55487）

- pnpm 可以在命令分派之前安裝 pnpm-workspace.yaml 中宣告的 configDependencies。儲存庫可以將 pacquet 或 @pnpm/pacquet 宣告為配置相依性，而 pnpm 會將該儲存庫控制的相依性視為安裝引擎選擇加入，進而允許執行任意二進位檔。
(CVE-2026-55697)

- pnpm 可以在 pnpm-lock.yaml 中保存 package-manager bootstrap 中繼資料。惡意存放庫可能會提交繞過全新套件管理員解析的套件管理員鎖定檔套件記錄和快照，然後導致 pnpm 安裝並執行由該已提交的鎖定檔狀態選取的位元組。
(CVE-2026-55698)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。