pnpm < 10.34.2 / 11.x < 11.5.3 多个漏洞

high Nessus 插件 ID 325222

语言：

简介

远程主机上安装的 pnpm 程序包受到多个漏洞影响。

描述

远程主机上安装的 pnpm 版本低于 10.34.2 或为低于 11.5.3 的 11.x。因此，该应用程序受到多个漏洞的影响：

- pnpm 和 pacquet 将 ${ENV_VAR} 占位符从存储库控制的 .npmrc 和 pnpm-workspace.yaml 扩展为注册表请求目的地和注册表凭据。恶意存储库可造成依存关系解析，在生命周期脚本运行前，将受害者环境密码发送到攻击者所选的注册表。(CVE-2026-55180)

- 通用对等后缀规范化程序还从 git、URL、tarball、file 和其他不透明定位符中剥离了括号文本。因此，批准一个源字符串可授权其他受攻击者控制的源，其定位器规范化为相同值。(CVE-2026-55487)

- pnpm 可在命令调度前安装 pnpm-workspace.yaml 中声明的 configDependencies。存储库可将 pacquet 或 @pnpm/pacquet 声明为配置依赖项，而 pnpm 将该存储库控制的依赖项视为安装引擎选择加入，从而允许执行任意二进制文件。
(CVE-2026-55697)

- pnpm 可以将 package-manager 启动元数据保存在 pnpm-lock.yaml 中。恶意存储库可提交绕过全新 package-manager 解析的 package-manager lockfile 程序包记录和快照，然后造成 pnpm 安装并执行按照该已提交的 lockfile 状态所选字节。
(CVE-2026-55698)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。