CVE-2026-55180

إصدارات pnpm الأقدم من 10.34.2

إصدارات pnpm الأقدم من 11.5.3

pacquet (لم يتم تحديد الإصدارات المتأثرة)

يقوم كل من pnpm و pacquet بتوسيع العناصر النائبة ${ENV VAR} الموجودة في ملفات .npmrc و pnpm-workspace.yaml التي يتحكم فيها المستودع، وتحويلها إلى وجهات طلبات التسجيل وبيانات اعتماد التسجيل. يمكن لمستودع ضار استغلال هذه الثغرة لإجبار عملية تحليل التبعيات على إرسال أسرار البيئة من نظام الضحية إلى سجل يتحكم فيه المهاجم قبل تنفيذ نصوص دورة الحياة.

تحديث pnpm إلى الإصدار 10.34.2 أو أحدث.

تحديث pnpm إلى الإصدار 11.5.3 أو أحدث.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية في pacquet.