PT-2024-35964 · Pnpm · Pnpm
Chalker
·
Publicado
2024-12-10
·
Atualizado
2025-09-22
·
CVE-2024-53866
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
Versões do pnpm anteriores à 9.15.0
Descrição:
O gerenciador de pacotes pnpm parece lidar incorretamente com substituições e cache global. Isso pode levar a que substituições de um espaço de trabalho vazem para os metadados do npm salvos no cache global, afetando outros espaços de trabalho. As instalações, por padrão, não revalidam os dados, inclusive na primeira geração do arquivo de bloqueio. Isso contraria a expectativa de que
ignore-scripts seja suficiente para impedir a execução imediata de código durante a instalação. A integridade do estado global é perdida por meio de operações que se esperaria que fossem seguras, permitindo a execução de código arbitrário posteriormente durante as instalações.Recomendações:
Para versões anteriores à 9.15.0, atualize para a versão 9.15.0 para corrigir o problema.
Como solução alternativa temporária, use diretórios de cache e armazenamento separados em cada espaço de trabalho.
Exploit
Correção
Untrusted Search Path
Origin Validation Error
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Pnpm