Aszx87410

o pnpm permite que um alias de dependência transitiva nos metadados do pacote do registro contenha segmentos de traversal de caminho (path traversal). Durante a instalação, o pnpm utiliza esse alias como um caminho de sistema de arquivos ao vincular nós de dependência. Como resultado, um pacote de registro pode fazer com que o comando `pnpm install --ignore-scripts` substitua caminhos no projeto atual por links simbólicos para diretórios de pacotes de dependência controlados por um invasor.

No modo não congelado (non-frozen), o comando `pnpm install` pode aceitar novo conteúdo de pacotes remotos mesmo após detectar que o tarball baixado não corresponde à integridade registrada no arquivo `pnpm-lock.yaml`. Se um registro fornecer metadados e conteúdo de tarball diferentes para um nome e versão de pacote já travados com um valor de integridade, o pnpm relata uma incompatibilidade de integridade, mas então realiza um reparo de resolução. Esse processo aceita a nova integridade do registro, atualiza o lockfile, instala o novo conteúdo e encerra com sucesso, o que significa que a verificação de integridade do lockfile não atua como uma interrupção obrigatória por padrão. Esse comportamento pode ser explorado se um registro for comprometido ou se um espelho/proxy de registro fornecer conteúdo de pacote alterado. Nesses casos, um novo ambiente (como uma nova máquina ou a integração de um novo membro na equipe) pode instalar um pacote substituto malicioso, apesar da presença de um lockfile com a integridade original.

Um problema de negação de serviço ocorre devido ao backtracking de expressão regular no analisador de parâmetros de nome de arquivo do Content-Disposition. Um upload multipart manipulado contendo um valor de cabeçalho longo pode fazer com que a correspondência de regex leve vários segundos, bloqueando o loop de eventos. Isso afeta qualquer serviço que aceite uploads multipart usando esta biblioteca.