yeoman-environment Vulnerable to Arbitrary Package Installation without User Confirmation
Impact
yeoman-environment versions >= 2.9.0 and < 6.0.1 install missing local generator packages from caller-supplied package names without user confirmation. In downstream consumers that pass attacker-controlled project configuration into this path, this can result in arbitrary package installation and code execution during CLI bootstrap.
The vulnerable method is installLocalGenerators(), which calls repository.install() directly without prompting the user.
Patches
Upgrade to yeoman-environment 6.0.1, which adds an interactive confirmation prompt before installation (PR #753).
Workarounds
None.
Resources
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | yeoman-environment | >= 2.9.0, < 6.0.1 | 6.0.1 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-829- Platforma
- npm
- Paczka
yeoman-environment- Ujawniono
- 26.05.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-vv9j-gjw2-j8wp - CC BY 4.0
Historia podatności: yeoman-environment
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.