תיאור (מקור, אנגלית)
pnpm is a package manager. Versions 6.25.0 through 10.26.2 have a Command Injection vulnerability when using environment variable substitution in .npmrc configuration files with tokenHelper settings. An attacker who can control environment variables during pnpm operations could achieve Remote Code Execution (RCE) in build environments. This issue is fixed in version 10.27.0.
מוצרים מושפעים
pnpm: pnpm
קישורים3
- github.com/pnpm/pnpm/security/advisories/GHSA-2phv-j68v-wwqx ExploitVendor Advisory
- github.com/pnpm/pnpm/security/advisories/GHSA-2phv-j68v-wwqx ExploitVendor Advisory
- github.com/pnpm/pnpm/releases/tag/v10.27.0 ProductRelease Notes
מדדים
- CVSS 3.1
-
7.8
HIGH
מקור הציון: NVD
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 1% אחוזון 64 · נכון ל-11 בנובמבר 2026
- CWE
- CWE-78CWE-94
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.