Highzkochan

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.2 pnpm versões anteriores a 11.5.3 **Description** O normalizador genérico de sufixo de peer remove incorretamente textos entre parênteses de locadores opacos, como git, URL, tarball, arquivo e outros. Esse comportamento permite que a aprovação de uma string de origem possa autorizar inadvertidamente uma origem diferente, controlada por um invasor, que seja normalizada para o mesmo valor. **Recommendations** Atualize para a versão 10.34.2. Atualize para a versão 11.5.3.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.2 pnpm versões anteriores a 11.5.3 **Description** o pnpm permite a instalação de `configDependencies` declaradas em `pnpm-workspace.yaml` antes do despacho de comandos. Um repositório pode declarar `pacquet` ou `@pnpm/pacquet` como uma dependência de configuração, que o pnpm trata como uma opção de ativação do mecanismo de instalação. Durante o processo de instalação, o pnpm resolve um binário `@pacquet/<platform>-<arch>/pacquet` específico da plataforma em `node modules/.pnpm-config/<packageName>` e o executa com os privilégios do desenvolvedor ou do usuário de CI. **Recommendations** Atualize o pnpm para a versão 10.34.2 ou posterior. Atualize o pnpm para a versão 11.5.3 ou posterior.

**Name of the Vulnerable Software and Affected Versions** pnpm versions prior to 7.33.4 pnpm versions prior to 8.6.8 **Description** The issue arises from how pnpm parses tar archives, allowing a tarball to be constructed that appears safe when installed via npm or parsed by the registry but is malicious when installed via pnpm. This can result in a package that seems safe on the npm registry or when installed via npm being replaced with a compromised or malicious version when installed via pnpm. The TAR format's append-only nature and the specification for updating files can lead to multiple copies of a file, such as `package.json`, in an archive, with the expected behavior being that all versions other than the last are ignored during extraction. However, pnpm extracts only the first file of a given name and discards subsequent files with the same name. **Recommendations** For pnpm versions prior to 7.33.4, update to version 7.33.4 or later. For pnpm versions prior to 8.6.8, update to version 8.6.8 or later. As a temporary workaround, consider avoiding the use of pnpm for installing packages until a patched version is applied.