pnpm — менеджер пакетов. До версий 10.34.4 и 11.7.0 созданный псевдоним файла блокировки можно было присоединить непосредственно к поднятому каталогу node_modules. Псевдонимы обхода могут выйти за пределы этого каталога, а зарезервированные псевдонимы, такие как .bin или .pnpm, могут перезаписать макет, принадлежащий pnpm.
Эта уязвимость исправлена в версиях 10.34.4 и 11.7.0.
Показать оригинальное описание (EN)
pnpm is a package manager. Prior to 10.34.4 and 11.7.0, a crafted lockfile alias could be joined directly under a hoisted node_modules directory. Traversal aliases could escape that directory, while reserved aliases such as .bin or .pnpm could overwrite pnpm-owned layout. This vulnerability is fixed in 10.34.4 and 11.7.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Pnpm Pnpm
cpe:2.3:a:pnpm:pnpm:*:*:*:*:*:node.js:*:*
|
— |
10.34.4
|
|
Pnpm Pnpm
cpe:2.3:a:pnpm:pnpm:*:*:*:*:*:node.js:*:*
|
11.0.0
|
11.7.0
|