pnpm < 10.34.0 / 11.x < 11.4.0 多個弱點

high Nessus Plugin ID 325223

語言:

概要

遠端主機上安裝的 pnpm 套件受到多個弱點影響。

說明

遠端主機上安裝的 pnpm 版本為 10.34.0 之前版本，或是 11.4.0 之前的 11.x 版。因此，會受到多個弱點影響：

- pnpm 允許登錄套件中繼資料中的可轉移相依性別名包含路徑遊走區段。在安裝期間，pnpm 稍後會在連結相依性節點時使用該別名作為檔案系統路徑。
因此，登錄套件可能會導致 pnpm 安裝 --ignore-scripts 以便將目前專案中的路徑替換為攻擊者控制的相依性套件目錄的符號連結。（CVE-2026-50016）

- pnpm 的修補程式應用程式工作流程 (@pnpm/patch-package) 不會對從 .patch 檔案擷取的檔案路徑執行路徑驗證。透過提取要求提供惡意修補程式檔案的攻擊者可以在 pnpm 安裝期間以執行安裝的使用者身分，將攻擊者控制的內容寫入檔案系統，或者刪除檔案系統上的任意檔案。（CVE-2026-50015）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。