PT-2026-52518
CVE-2026-50573
·
تاريخ النشر
2026-06-25
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pnpm الأقدم من 10.34.0
إصدارات pnpm الأقدم من 11.4.0
الوصف
في الوضع غير المجمد (non-frozen)، قد يقبل الأمر
pnpm install محتوىً جديدًا للحزمة عن بُعد حتى بعد اكتشاف أن ملف tarball الذي تم تنزيله لا يتطابق مع قيمة السلامة المسجلة في ملف pnpm-lock.yaml. إذا قدم السجل بيانات وصفية ومحتوى ملف tarball مختلفين لاسم حزمة وإصدار تم قفلهما بالفعل بقيمة سلامة، فإن pnpm يبلغ عن عدم تطابق في السلامة ولكنه يقوم بعد ذلك بإصلاح المشكلة. تقبل هذه العملية قيمة السلامة الجديدة من السجل، وتقوم بتحديث ملف القفل، وتثبيت المحتوى الجديد، ثم تنتهي بنجاح، مما يعني أن فحص سلامة ملف القفل لا يعمل كإيقاف تام بشكل افتراضي.يمكن استغلال هذا السلوك في حالة تعرض السجل للاختراق أو إذا قدمت نسخة متطابقة/وكيل للسجل محتوى حزمة تم تغييره. في مثل هذه الحالات، قد تقوم بيئة جديدة (مثل جهاز جديد أو انضمام عضو جديد إلى الفريق) بتثبيت حزمة بديلة ضارة على الرغم من وجود ملف القفل الذي يحتوي على التكامل الأصلي.
التوصيات
قم بتحديث pnpm إلى الإصدار 10.34.0 أو أحدث.
قم بتحديث pnpm إلى الإصدار 11.4.0 أو أحدث.
كإجراء تخفيفي مؤقت، استخدم العلامة
--frozen-lockfile أثناء التثبيت لضمان فشل العملية في حالة اكتشاف عدم تطابق في السلامة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾