PT-2026-1940
CVE-2025-69263
·
تاريخ النشر
2026-01-07
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pnpm 10.26.2 والإصدارات الأقدم
الوصف
يقوم pnpm، وهو مدير حزم، بتخزين تبعيات ملفات tarball HTTP وملفات tarball المستضافة في مستودعات Git في ملف lockfile دون تجزئات للتحقق من السلامة في الإصدارات 10.26.2 والإصدارات الأقدم. وهذا يسمح لخادم بعيد بتقديم محتوى مختلف خلال كل عملية تثبيت، حتى مع وجود ملف lockfile تم إرساله إلى الترسيخ. يمكن للمهاجم الذي ينشر حزمة تحتوي على تاربول HTTP كأحد التبعيات أن يقدم أكواد متنوعة لمستخدمين مختلفين أو لبيئات CI/CD مختلفة. يتطلب استغلال هذه الثغرة أن يقوم الضحية بتثبيت حزمة تحتوي على تاربول HTTP/Git في شجرة التبعيات الخاصة به، ولا يوفر ملف القفل أي حماية ضد ذلك.
التوصيات
قم بالتحديث إلى الإصدار 10.26.0 أو أحدث من pnpm.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾