CVE-2026-101043

Nome do Software Vulnerável e Versões Afetadas pnpm versões 11.0.0 até 11.10.f pnpm versões 10.7.0 até 10.34.4

Description O software expande placeholders de variáveis de ambiente ${VAR} nas configurações httpProxy, httpsProxy e noProxy lidas do arquivo pnpm-workspace.yaml de um projeto. Como este manifesto é controlado pelo repositório, um invasor que controle o pnpm-workspace.yaml pode forçar um usuário que clone o repositório e execute um comando pnpm a expandir segredos de ambiente, como NPM TOKEN ou GITHUB TOKEN, em um hostname de proxy ou informações de usuário. Isso permite que o invasor direcione o tráfego de instalação e as consultas de DNS através de um host sob seu controle. A exfiltração ocorre durante o carregamento da configuração, antes da execução de qualquer script de ciclo de vida.

Recommendations Atualize o pnpm para a versão 11.11.0. Atualize o pnpm para a versão 10.34.5.