PT-2026-1941 · Pnpm · Pnpm

CVE-2025-69264 · Publicado 2026-01-07 · Atualizado 2026-06-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do pnpm de 10.0.0 a 10.25

Descrição O pnpm é um gerenciador de pacotes afetado por uma vulnerabilidade na qual dependências hospedadas no git podem executar código arbitrário durante o processo pnpm install. Isso contorna o recurso de segurança introduzido na versão 10, que desabilita a execução de scripts de ciclo de vida das dependências por padrão. Especificamente, embora a versão 10 do pnpm bloqueie scripts postinstall, dependências do git ainda podem executar scripts prepare, prepublish e prepack durante a fase de busca, potencialmente levando à execução remota de código sem o consentimento do usuário.

Recomendações Atualize para o pnpm versão 10.26.0 ou superior.

Exploit

Correção

RCE

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2025-69264

GHSA-379Q-355J-W6RJ

Produtos afetados

Pnpm

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/69xxx/CVE-2025-69264.json · Exploit
• https://github.com/pnpm/pnpm · Nota
• https://github.com/pnpm/pnpm/commit/73cc63504d9bc360c43e4b2feb9080677f03c5b5 · Correção
• https://github.com/pnpm/pnpm/security/advisories/GHSA-379q-355j-w6rj · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2427709 · Nota
• https://security.access.redhat.com/data/csaf/v2/vex/2025/cve-2025-69264.json · Nota
• https://access.redhat.com/security/cve/CVE-2025-69264 · Nota
• https://t.me/true_secator/7842 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-69264 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-69264 · Nota de Segurança
• https://t.me/cveNotify/148001 · Publicação no Telegram
• https://twitter.com/CCBalert/status/2009628138402177469 · Publicação no Twitter
• https://t.me/cveNotify/179491 · Publicação no Telegram
• https://twitter.com/pulsepatchio/status/2009635207272386598 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2009032513394815069 · Publicação no Twitter