Anmelden
Deutsch English Español Polski
Hoch

Untrusted Search Path in PNPM

  • Veröffentlicht: 23.03.2022
  • Aktualisiert: 11.10.2026 10:22

PNPM prior to v6.15.1 was discovered to contain an untrusted search path which causes the application to behave in unexpected ways when users execute PNPM commands in a directory containing malicious content. This vulnerability occurs when the application is ran on Windows OS.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket pnpm < 6.15.1 6.15.1

Verweise

CVSS-Wert 8.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-426
Plattform
npm
Paket
pnpm
Veröffentlicht
23.03.2022
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-9m87-6fj3-c5xh - CC BY 4.0

Schwachstellenhistorie: pnpm

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (32) im Archiv
Einträge insgesamt
32
Erste → letzte
03.2022 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Hoch 18
  • Mittel 14

Veröffentlichungen pro Jahr

Schweregrad:
  1. pnpm: Virtual store linker path traversal via unvalidated depPath name in lockfileToDepGraph
    Hoch · 7.1 CVE-2026-82392 < 10.34.5, >= 11.0.0, < 11.11.0 10.34.5, 11.11.0
  2. pnpm: A tarball dependency's manifest `name` escapes node_modules → arbitrary file write/overwrite on install
    Hoch · 7.5 CVE-2026-82393 < 10.34.5, >= 11.0.0, < 11.11.0 10.34.5, 11.11.0
  3. pnpm: Environment secrets exfiltrated via env-placeholder expansion in proxy settings read from an untrusted pnpm-workspace.yaml
    Hoch · 7.4 CVE-2026-101043 >= 11.0.0, < 11.11.0, >= 10.7.0, < 10.34.5 11.11.0, 10.34.5
  4. pnpm: pacquet trust-lockfile install can create dependency symlinks outside the project
    Hoch · 7.1 ghsa-2rx9-3g3h-c2jv >= 12.0.0-alpha.0, < 12.0.0-alpha.5 12.0.0-alpha.5
  5. pnpm: Path traversal in configDependencies env lockfile allows symlink creation outside node_modules/.pnpm-config
    Hoch · 8.2 CVE-2026-59195 < 10.34.4, >= 11.0.0, < 11.8.0 10.34.4, 11.8.0
  6. pnpm: `patch-remove` could delete project-selected files outside the patches directory
    Hoch · 7.1 CVE-2026-59194 < 10.34.4, >= 11.0.0, < 11.7.0 10.34.4, 11.7.0
  7. pnpm: Hoisted install imports lockfile alias outside node_modules
    Hoch · 7.1 CVE-2026-59196 < 10.34.4, >= 11.0.0, < 11.7.0 10.34.4, 11.7.0
  8. pnpm: `stage download` writes outside its destination directory via manifest name/version traversal
    Hoch · 7.1 CVE-2026-55700 >= 11.3.0, < 11.5.3 11.5.3
  9. pnpm: Project env lockfile can short-circuit package-manager resolution and execute lockfile-selected pnpm bytes
    Hoch · 8.8 CVE-2026-55698 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  10. pnpm: Repository-controlled configDependencies can select a pacquet native install engine
    Hoch · 7.5 CVE-2026-55697 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  11. pnpm: Manifest identity spoof satisfies allowBuilds and runs attacker lifecycle
    Hoch · 7.5 CVE-2026-55487 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  12. pnpm Vulnerable to Arbitrary File Write/Delete via Malicious Patch File (Path Traversal)
    Hoch · 7.3 CVE-2026-50015 < 10.34.0, >= 11.0.0, < 11.4.0 10.34.0, 11.4.0
  13. pnpm: Transitive dependency alias path traversal allows project path override via symlink replacement
    Hoch · 8.8 CVE-2026-50016 < 10.34.0, >= 11.0.0, < 11.4.0 10.34.0, 11.4.0
  14. pnpm v10+ Bypass "Dependency lifecycle scripts execution disabled by default"
    Hoch · 8.8 CVE-2025-69264 >= 10.0.0, < 10.26.0 10.26.0
  15. pnpm Has Lockfile Integrity Bypass that Allows Remote Dynamic Dependencies
    Hoch · 7.5 CVE-2025-69263 < 10.26.0 10.26.0
  16. pnpm vulnerable to Command Injection via environment variable substitution
    Hoch · 7.5 CVE-2025-69262 >= 6.25.0, < 10.27.0 10.27.0
  17. pnpm incorrectly parses tar archives relative to specification
    Hoch · 7.5 CVE-2023-37478 < 7.33.4, >= 8.0.0, < 8.6.8 7.33.4, 8.6.8
  18. Untrusted Search Path in PNPM dieser Eintrag
    Hoch · 8.8 CVE-2022-26183 < 6.15.1 6.15.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.