Tempcollab

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0 **Description** o pnpm passa o valor `git resolution.commit` do lockfile para o comando git fetch sem utilizar um separador -- ou realizar a validação do formato do commit. Quando dependências git são buscadas através do caminho shallow-fetch, um lockfile malicioso pode substituir o hash de commit de 40 caracteres por uma opção do Git, como `--upload-pack=<command>`. Para transportes locais e SSH, a opção `--upload-pack` pode executar o comando fornecido. Transportes HTTPS não são afetados, pois ignoram essa opção. **Recommendations** Atualize o pnpm para a versão 10.34.0 ou posterior. Atualize o pnpm para a versão 11.4.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0 **Description** O pipeline de aplicação de patches (@pnpm/patch-package) não valida os caminhos de arquivos extraídos de arquivos .patch. Um invasor pode fornecer um arquivo de patch malicioso contendo sequências `../../` nos caminhos do cabeçalho diff --git para navegar fora do diretório do pacote. Isso permite que o invasor escreva conteúdo controlado ou exclua arquivos arbitrários no sistema de arquivos com os privilégios do usuário que executa o comando de instalação. **Recommendations** Atualize o pnpm para a versão 10.34.0 ou posterior. Atualize o pnpm para a versão 11.4.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0 **Description** O worker de extração de tarball no gerenciador de pacotes pnpm não realiza a verificação de integridade quando o campo `integrity` está ausente na resolução do lockfile. Isso cria uma falha de segurança do tipo fail-open, na qual um invasor que consiga modificar o arquivo `pnpm-lock.yaml` para remover o campo `integrity` e controlar o conteúdo servido pela URL do registro pode forçar o comando `pnpm install --frozen-lockfile` a instalar pacotes alterados sem gerar um erro de integridade. **Recommendations** Atualize para a versão 10.34.0 ou posterior. Atualize para a versão 11.4.0 ou posterior.