CVE-2026-101044

Nome do Software Vulnerável e Versões Afetadas pnpm versões 12.0.0-alpha.0 até 12.0.0-alpha.4

Descrição O componente de gerenciador de pacotes Rust pacquet não valida caminhos de alias ou nomes de dependências provenientes de um lockfile antes de utilizá-los em junções de sistema de arquivos durante a instalação. Se um usuário instalar um projeto usando um lockfile fornecido por um invasor com --trust-lockfile ou um lockfile congelado, entradas de alias contendo segmentos de travessia de caminho (como ../../escaped-link) podem ser usadas para criar links simbólicos e diretórios fora do limite pretendido do projeto e do node modules. Isso ocorre durante a criação de links de dependência e pacotes, destinos de binários, entradas elevadas (hoisted) e slots de armazenamento virtual.

Recomendações Atualize o pnpm para a versão 12.0.0-alpha.5 ou posterior.