Zaloguj się
Deutsch English Español Polski
Wysoka

Untrusted Search Path in PNPM

  • Ujawniono: 23.03.2022
  • Aktualizacja: 11.10.2026 10:22

PNPM prior to v6.15.1 was discovered to contain an untrusted search path which causes the application to behave in unexpected ways when users execute PNPM commands in a directory containing malicious content. This vulnerability occurs when the application is ran on Windows OS.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm pnpm < 6.15.1 6.15.1

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-426
Platforma
npm
Paczka
pnpm
Ujawniono
23.03.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-9m87-6fj3-c5xh - CC BY 4.0

Historia podatności: pnpm

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum
Wszystkich wpisów
32
Pierwsza → ostatnia
03.2022 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 18
  • Średnia 14

Ujawnienia w latach

Istotność:
  1. pnpm: Virtual store linker path traversal via unvalidated depPath name in lockfileToDepGraph
    Wysoka · 7.1 CVE-2026-82392 < 10.34.5, >= 11.0.0, < 11.11.0 10.34.5, 11.11.0
  2. pnpm: A tarball dependency's manifest `name` escapes node_modules → arbitrary file write/overwrite on install
    Wysoka · 7.5 CVE-2026-82393 < 10.34.5, >= 11.0.0, < 11.11.0 10.34.5, 11.11.0
  3. pnpm: Environment secrets exfiltrated via env-placeholder expansion in proxy settings read from an untrusted pnpm-workspace.yaml
    Wysoka · 7.4 CVE-2026-101043 >= 11.0.0, < 11.11.0, >= 10.7.0, < 10.34.5 11.11.0, 10.34.5
  4. pnpm: pacquet trust-lockfile install can create dependency symlinks outside the project
    Wysoka · 7.1 ghsa-2rx9-3g3h-c2jv >= 12.0.0-alpha.0, < 12.0.0-alpha.5 12.0.0-alpha.5
  5. pnpm: Path traversal in configDependencies env lockfile allows symlink creation outside node_modules/.pnpm-config
    Wysoka · 8.2 CVE-2026-59195 < 10.34.4, >= 11.0.0, < 11.8.0 10.34.4, 11.8.0
  6. pnpm: `patch-remove` could delete project-selected files outside the patches directory
    Wysoka · 7.1 CVE-2026-59194 < 10.34.4, >= 11.0.0, < 11.7.0 10.34.4, 11.7.0
  7. pnpm: Hoisted install imports lockfile alias outside node_modules
    Wysoka · 7.1 CVE-2026-59196 < 10.34.4, >= 11.0.0, < 11.7.0 10.34.4, 11.7.0
  8. pnpm: `stage download` writes outside its destination directory via manifest name/version traversal
    Wysoka · 7.1 CVE-2026-55700 >= 11.3.0, < 11.5.3 11.5.3
  9. pnpm: Project env lockfile can short-circuit package-manager resolution and execute lockfile-selected pnpm bytes
    Wysoka · 8.8 CVE-2026-55698 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  10. pnpm: Repository-controlled configDependencies can select a pacquet native install engine
    Wysoka · 7.5 CVE-2026-55697 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  11. pnpm: Manifest identity spoof satisfies allowBuilds and runs attacker lifecycle
    Wysoka · 7.5 CVE-2026-55487 < 10.34.2, >= 11.0.0, < 11.5.3 10.34.2, 11.5.3
  12. pnpm Vulnerable to Arbitrary File Write/Delete via Malicious Patch File (Path Traversal)
    Wysoka · 7.3 CVE-2026-50015 < 10.34.0, >= 11.0.0, < 11.4.0 10.34.0, 11.4.0
  13. pnpm: Transitive dependency alias path traversal allows project path override via symlink replacement
    Wysoka · 8.8 CVE-2026-50016 < 10.34.0, >= 11.0.0, < 11.4.0 10.34.0, 11.4.0
  14. pnpm v10+ Bypass "Dependency lifecycle scripts execution disabled by default"
    Wysoka · 8.8 CVE-2025-69264 >= 10.0.0, < 10.26.0 10.26.0
  15. pnpm Has Lockfile Integrity Bypass that Allows Remote Dynamic Dependencies
    Wysoka · 7.5 CVE-2025-69263 < 10.26.0 10.26.0
  16. pnpm vulnerable to Command Injection via environment variable substitution
    Wysoka · 7.5 CVE-2025-69262 >= 6.25.0, < 10.27.0 10.27.0
  17. pnpm incorrectly parses tar archives relative to specification
    Wysoka · 7.5 CVE-2023-37478 < 7.33.4, >= 8.0.0, < 8.6.8 7.33.4, 8.6.8
  18. Untrusted Search Path in PNPM ten wpis
    Wysoka · 8.8 CVE-2022-26183 < 6.15.1 6.15.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.