pnpm < 10.34.0 / 11.x < 11.4.0 複数の脆弱性

high Nessus プラグイン ID 325223

Language:

概要

リモートホストにインストールされている pnpm パッケージが複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている pnpm のバージョンは 10.34.0 より前、または 11.4.0 より前の 11.x です。そのため、以下の複数の脆弱性の影響を受けます。

- pnpm により、レジストリパッケージメタデータからの推移的な依存関係エイリアスに、パストラバーサルセグメントを含めることが可能になります。インストール時に、pnpm は後で依存ノードをリンクするときに、そのエイリアスをファイルシステムパスとして使用します。
結果として、レジストリパッケージにより、pnpm install --ignore-scripts が現在のプロジェクト内のパスを、攻撃者が制御する依存パッケージディレクトリへのシンボリックリンクに置き換える可能性があります。(CVE-2026-50016)

- pnpm のパッチ適用パイプライン (@pnpm/patch-package) は、.patch ファイルから抽出されたファイルパスに対してパス検証を実行しません。プルリクエストを通じて悪意のあるパッチファイルを提供した攻撃者は、インストールを実行しているユーザー権限で、pnpm install 中にファイルシステム上の任意のファイルへ攻撃者が制御するコンテンツを書き込んだり、削除したりできる可能性があります。(CVE-2026-50015)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。