pnpm < 10.34.0 / 11.x < 11.4.0 多个漏洞

high Nessus 插件 ID 325223

语言：

简介

远程主机上安装的 pnpm 程序包受到多个漏洞影响。

描述

远程主机上安装的 pnpm 版本低于 10.34.0 或为低于 11.4.0 的 11.x。因此，该应用程序受到多个漏洞的影响：

- pnpm 允许注册表程序包元数据中的可传递依赖项别名包含路径遍历段。在安装期间，pnpm 随后会在链接依存关系节点时将该别名用作文件系统路径。
因此，注册表程序包可导致 pnpm 安装 --ignore-scripts 以连接到攻击者控制的依存关系程序包目录的符号链接替换当前项目中的路径。(CVE-2026-50016)

- pnpm 的修补程序应用程序管道 (@pnpm/patch-package) 不会对从 .patch 文件中提取的文件路径执行路径验证。通过 pull 请求提供恶意修补程序文件的攻击者可在 pnpm 安装期间以运行安装的用户身份，将攻击者控制的内容写入文件系统，或删除文件系统上的任意文件。(CVE-2026-50015)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。