CVE-2026-50015

Nome do Software Vulnerável e Versões Afetadas pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0

Description O pipeline de aplicação de patches (@pnpm/patch-package) não valida os caminhos de arquivos extraídos de arquivos .patch. Um invasor pode fornecer um arquivo de patch malicioso contendo sequências ../../ nos caminhos do cabeçalho diff --git para navegar fora do diretório do pacote. Isso permite que o invasor escreva conteúdo controlado ou exclua arquivos arbitrários no sistema de arquivos com os privilégios do usuário que executa o comando de instalação.

Recommendations Atualize o pnpm para a versão 10.34.0 ou posterior. Atualize o pnpm para a versão 11.4.0 ou posterior.