CVE-2026-82392

Nome do Software Vulnerável e Versões Afetadas pnpm versões anteriores a 10.34.5 pnpm versões 11.0.0 até 11.10.0

Descrição o pnpm analisa incorretamente os nomes de pacotes do arquivo pnpm-lock.yaml usando a função dp.parse(depPath).name sem a validação suficiente. Isso ocorre em deps/graph-builder/src/lockfileToDepGraph.ts e pnpm11/deps/graph-builder/src/lockfileToDepGraph.ts. O nome não validado é passado para path.join(modules, pkgName), storeController.importPackage e pnpm11/lockfile/to-pnp/src/index.ts, o que permite que um invasor escreva conteúdos de pacotes fora do diretório node modules durante uma operação pnpm install. Se a configuração dangerouslyAllowAllBuilds estiver ativada ou se uma entrada allowBuilds correspondente permitir scripts de ciclo de vida, o pacote escapado pode executar código arbitrário com os privilégios do usuário.

Recomendações Atualize para a versão 10.34.5 ou posterior. Atualize para a versão 11.11.0 ou posterior.