Aszx87410

يسمح pnpm باستخدام اسم مستعار للتبعية الانتقالية ضمن بيانات تعريف حزمة السجل بحيث يتضمن أجزاءً من مسار التجاوز. وأثناء عملية التثبيت، يستخدم pnpm هذا الاسم المستعار كمسار في نظام الملفات عند ربط عقد التبعية. وهذا يسمح لحزمة السجل بأن تجعل الأمر `pnpm install --ignore-scripts` يستبدل مسارات المشروع بروابط رمزية تشير إلى دلائل حزم التبعيات التي يتحكم فيها المهاجم.

في الوضع غير المجمد (non-frozen)، قد يقبل الأمر `pnpm install` محتوىً جديدًا للحزمة عن بُعد حتى بعد اكتشاف أن ملف tarball الذي تم تنزيله لا يتطابق مع قيمة السلامة المسجلة في ملف `pnpm-lock.yaml`. إذا قدم السجل بيانات وصفية ومحتوى ملف tarball مختلفين لاسم حزمة وإصدار تم قفلهما بالفعل بقيمة سلامة، فإن pnpm يبلغ عن عدم تطابق في السلامة ولكنه يقوم بعد ذلك بإصلاح المشكلة. تقبل هذه العملية قيمة السلامة الجديدة من السجل، وتقوم بتحديث ملف القفل، وتثبيت المحتوى الجديد، ثم تنتهي بنجاح، مما يعني أن فحص سلامة ملف القفل لا يعمل كإيقاف تام بشكل افتراضي. يمكن استغلال هذا السلوك في حالة تعرض السجل للاختراق أو إذا قدمت نسخة متطابقة/وكيل للسجل محتوى حزمة تم تغييره. في مثل هذه الحالات، قد تقوم بيئة جديدة (مثل جهاز جديد أو انضمام عضو جديد إلى الفريق) بتثبيت حزمة بديلة ضارة على الرغم من وجود ملف القفل الذي يحتوي على التكامل الأصلي.

توجد مشكلة رفض الخدمة (DoS) ناتجة عن عملية التراجع في التعبير النمطي (regular expression) في محلل معلمة اسم الملف Content-Disposition. يمكن أن يتسبب تحميل متعدد الأجزاء مصمم خصيصًا يحتوي على قيمة رأس طويلة في استغراق مطابقة التعبير النمطي عدة ثوانٍ، مما يؤدي إلى حظر حلقة الأحداث. ويؤثر هذا على أي خدمة تقبل عمليات التحميل المتعددة الأجزاء باستخدام هذه المكتبة.