PT-2026-55947 · Pnpm · Pnpm

Publicado 2026-07-06 · Atualizado 2026-07-06 · CVE-2026-59195

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas pnpm versões anteriores a 10.34.4 pnpm versões anteriores a 11.8.0

Description o pnpm aceita nomes de pacotes da seção configDependencies do env lockfile e os utiliza diretamente ao criar links simbólicos de dependência de configuração em node modules/.pnpm-config. Um repositório malicioso pode enviar um arquivo pnpm-lock.yaml manipulado onde o documento env-lockfile contém um nome de dependência de configuração com formato de traversal. Durante o processo de instalação, o pnpm cria um link simbólico em um caminho derivado desse nome, o que pode levar ao path traversal (travessia de diretório).

Recommendations Atualize para a versão 10.34.4. Atualize para a versão 11.8.0.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-59195

Produtos afetados

Pnpm

Referências · 4

• https://github.com/pnpm/pnpm/security/advisories/GHSA-qrv3-253h-g69c · Nota
• https://twitter.com/infoflowcloud/status/2074181890072875286 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-59195 · Nota de Segurança
• https://twitter.com/CVEnew/status/2074180679836082249 · Publicação no Twitter