Aszx87410

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0 **Description** o pnpm permite que um alias de dependência transitiva nos metadados do pacote do registro contenha segmentos de traversal de caminho (path traversal). Durante a instalação, o pnpm utiliza esse alias como um caminho de sistema de arquivos ao vincular nós de dependência. Como resultado, um pacote de registro pode fazer com que o comando `pnpm install --ignore-scripts` substitua caminhos no projeto atual por links simbólicos para diretórios de pacotes de dependência controlados por um invasor. **Recommendations** Atualize o pnpm para a versão 10.34.0 ou posterior. Atualize o pnpm para a versão 11.4.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0 **Description** No modo não congelado (non-frozen), o comando `pnpm install` pode aceitar novo conteúdo de pacotes remotos mesmo após detectar que o tarball baixado não corresponde à integridade registrada no arquivo `pnpm-lock.yaml`. Se um registro fornecer metadados e conteúdo de tarball diferentes para um nome e versão de pacote já travados com um valor de integridade, o pnpm relata uma incompatibilidade de integridade, mas então realiza um reparo de resolução. Esse processo aceita a nova integridade do registro, atualiza o lockfile, instala o novo conteúdo e encerra com sucesso, o que significa que a verificação de integridade do lockfile não atua como uma interrupção obrigatória por padrão. Esse comportamento pode ser explorado se um registro for comprometido ou se um espelho/proxy de registro fornecer conteúdo de pacote alterado. Nesses casos, um novo ambiente (como uma nova máquina ou a integração de um novo membro na equipe) pode instalar um pacote substituto malicioso, apesar da presença de um lockfile com a integridade original. **Recommendations** Atualize o pnpm para a versão 10.34.0 ou posterior. Atualize o pnpm para a versão 11.4.0 ou posterior. Como mitigação temporária, utilize a flag `--frozen-lockfile` durante a instalação para garantir que o processo falhe caso seja detectada uma incompatibilidade de integridade.

**Nome do Software Vulnerável e Versões Afetadas** multiparty versões anteriores a 4.3.0 **Descrição** Um problema de negação de serviço ocorre devido ao backtracking de expressão regular no analisador de parâmetros de nome de arquivo do Content-Disposition. Um upload multipart manipulado contendo um valor de cabeçalho longo pode fazer com que a correspondência de regex leve vários segundos, bloqueando o loop de eventos. Isso afeta qualquer serviço que aceite uploads multipart usando esta biblioteca. **Recomendações** Atualize para a versão 4.3.0 ou superior. Limite os tamanhos de upload na camada de proxy ou gateway para reduzir a superfície de ataque.