PT-2026-1940 · Pnpm · Pnpm

Publicado 2026-01-07 · Atualizado 2026-06-30 · CVE-2025-69263

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pnpm versões 10.26.2 e anteriores

Descrição O pnpm, um gerenciador de pacotes, armazena dependências de tarballs HTTP e tarballs hospedados em repositórios Git no lockfile sem hashes de integridade nas versões 10.26.2 e anteriores. Isso permite que um servidor remoto forneça conteúdo diferente durante cada instalação, mesmo com um lockfile comitado. Um atacante que publique um pacote com uma dependência de tarball HTTP pode fornecer códigos variados a diferentes usuários ou ambientes CI/CD. A exploração requer que a vítima instale um pacote que contenha um tarball HTTP/Git em sua árvore de dependências, e o lockfile não oferece proteção contra isso.

Recomendações Atualize para a versão 10.26.0 ou posterior do pnpm.

Exploit

Correção

Enumeração de Fraquezas

CWE-494

Identificadores relacionados

CVE-2025-69263

GHSA-7VHP-VF5G-R2FW

Produtos afetados

Pnpm

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/69xxx/CVE-2025-69263.json · Exploit
• https://github.com/pnpm/pnpm · Nota
• https://github.com/pnpm/pnpm/commit/0958027f88a99ccefe7e9676cdebba393dfbdc85 · Correção
• https://github.com/pnpm/pnpm/security/advisories/GHSA-7vhp-vf5g-r2fw · Aviso do Fabricante
• https://security.access.redhat.com/data/csaf/v2/vex/2025/cve-2025-69263.json · Nota
• https://twitter.com/CVEnew/status/2009020509800026239 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1qhy9b0/top_10_trending_cves_20012026 · Publicação no Reddit
• https://bugzilla.redhat.com/show_bug.cgi?id=2427703 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-69263 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-69263 · Aviso do Fabricante
• https://t.me/cveNotify/171553 · Publicação no Telegram
• https://access.redhat.com/security/cve/CVE-2025-69263 · Nota
• https://t.me/cveNotify/179490 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-7vhp-vf5g-r2fw · Aviso do Fabricante
• https://t.me/true_secator/7842 · Publicação no Telegram