pnpm: Virtual store linker path traversal via unvalidated depPath name in lockfileToDepGraph — GHSA-C59Q-G84Q-2GJ5

GitHub · GitHub · GHSA-C59Q-G84Q-2GJ5

ID
GHSA-C59Q-G84Q-2GJ5

Datum
2026-09-02

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.1

EPSS
0.00397

Zusammenfassung

## Summary The virtual store linker constructs package installation directories using `path.join(modules, pkgName)` where `pkgName` is extracted from lockfile `packages` keys via `dp.parse(depPath).name` without validation. A crafted `pnpm-lock.yaml` with traversal sequences in depPath keys (e.g., `../../../tmp/pwned@1.0.0`) causes package content to be written to arbitrary filesystem paths during `pnpm install`.…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.1 von 10.
Gemeldeter EPSS-Wert: 0.00397.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: pnpm.

Produkt

npm: pnpm

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-C59Q-G84Q-2GJ5
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-02
Letzte Quellenaktivität: 2026-09-02
Weitere Kennungen: CVE-2026-82392
Kuratiert von: hlukh.ch