Zkochan

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.4 pnpm versões anteriores a 11.7.0 **Description** Uma entrada de patch manipulada pode ser resolvida fora do diretório de patches configurado, permitindo que o comando `pnpm patch-remove` exclua um arquivo acessível arbitrário. **Recommendations** Atualize para a versão 10.34.4 ou posterior. Atualize para a versão 11.7.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.4 pnpm versões anteriores a 11.7.0 **Description** Um alias de lockfile manipulado pode ser unido diretamente sob um diretório node modules hoisted. Aliases de travessia podem permitir a saída desse diretório, enquanto aliases reservados como `.bin` ou `.pnpm` podem sobrescrever o layout proprietário do pnpm. **Recommendations** Atualize para a versão 10.34.4. Atualize para a versão 11.7.0.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.2 pnpm versões 11.0.0 a 11.5.2 **Description** o pnpm pode persistir metadados de bootstrap do gerenciador de pacotes no primeiro documento YAML do arquivo `pnpm-lock.yaml`. O problema ocorre quando o pnpm confia incorretamente em uma entrada `packageManagerDependencies` já resolvida se o lockfile de ambiente commitado contiver versões correspondentes de `pnpm` e `@pnpm/exe`. Essa falha de confiança durante a troca automática de versão permite que um repositório malicioso commite registros de pacotes e snapshots de lockfile manipulados que ignoram a resolução atualizada do gerenciador de pacotes. Um invasor pode explorar isso commitando um arquivo `pnpm-lock.yaml` manipulado. Quando uma vítima executa o pnpm nesse repositório com a troca automática habilitada, o pnpm pode instalar e executar bytes selecionados pelo invasor. Isso pode levar à execução de código arbitrário com os privilégios do usuário, comprometendo potencialmente estações de trabalho de desenvolvedores e runners de CI. Detalhes técnicos incluem o seguinte: - **API Endpoints**: Não aplicável. - **Parâmetros ou Variáveis Vulneráveis**: `packageManagerDependencies` dentro do arquivo `pnpm-lock.yaml`. - **Nomes de Funções**: `switchCliVersion()` e `resolvePackageManagerIntegrities()`. **Recommendations** Atualize o pnpm para a versão 10.34.2. Atualize o pnpm para a versão 11.5.3.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.2 pnpm versões anteriores a 11.5.3 **Description** Chaves do objeto bin do manifesto, como "", "." e "..", ignoram a proteção bin-name. Se um pacote malicioso for instalado globalmente, operações subsequentes de remoção global, atualização ou substituição podem derivar esses nomes do manifesto instalado. Isso permite que o software passe `path.join(globalBinDir, binName)` para a função `removeBin()`. Consequentemente, o uso de "." visa o diretório bin global, enquanto ".." visa o diretório pai. **Recommendations** Atualize para a versão 10.34.2. Atualize para a versão 11.5.3.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões 11.3.0 até 11.5.2 **Description** O comando `pnpm stage download` deriva um nome de arquivo local usando campos de nome e versão de pacote controlados pelo registro. Um manifesto manipulado pode levar a um path traversal, permitindo que um invasor escape do diretório de download designado e sobrescreva outros arquivos acessíveis. **Recommendations** Atualize para a versão 11.5.3.

**Nome do software vulnerável e versões afetadas** Versões 6.15.1 e anteriores do PNPM **Descrição** O problema está relacionado a um caminho de pesquisa não confiável no PNPM, o que pode fazer com que o aplicativo se comporte de maneira inesperada quando os usuários executam comandos do PNPM em um diretório que contenha conteúdo malicioso. Isso ocorre quando o aplicativo é executado no sistema operacional Windows. **Recomendações** Para as versões 6.15.1 e anteriores do PNPM, atualize para uma versão superior à 6.15.1 para resolver o problema. Como solução temporária, considere evitar a execução de comandos do PNPM em diretórios que possam conter conteúdo malicioso. Restrinja o acesso a diretórios confidenciais para minimizar o risco de exploração.