CVE-2026-50021

Nome do Software Vulnerável e Versões Afetadas pnpm versões anteriores a 10.34.0 pnpm versões anteriores a 11.4.0

Description O worker de extração de tarball no gerenciador de pacotes pnpm não realiza a verificação de integridade quando o campo integrity está ausente na resolução do lockfile. Isso cria uma falha de segurança do tipo fail-open, na qual um invasor que consiga modificar o arquivo pnpm-lock.yaml para remover o campo integrity e controlar o conteúdo servido pela URL do registro pode forçar o comando pnpm install --frozen-lockfile a instalar pacotes alterados sem gerar um erro de integridade.

Recommendations Atualize para a versão 10.34.0 ou posterior. Atualize para a versão 11.4.0 ou posterior.