pnpm is a package manager. Versions 6.25.0 through 10.26.2 have a Command Injection vulnerability when using environment variable substitution in .npmrc configuration files with tokenHelper settings....
Summary
pnpm is a package manager. Versions 6.25.0 through 10.26.2 have a Command Injection vulnerability when using environment variable substitution in .npmrc configuration files with tokenHelper settings. An attacker who can control environment variables during pnpm operations could achieve Remote Code E...
Original description
The description as published by the source.
pnpm is a package manager. Versions 6.25.0 through 10.26.2 have a Command Injection vulnerability when using environment variable substitution in .npmrc configuration files with tokenHelper settings. An attacker who can control environment variables during pnpm operations could achieve Remote Code Execution (RCE) in build environments. This issue is fixed in version 10.27.0.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
pnpmはパッケージ管理ツールで、バージョン6.25.0から10.26.2にコマンドインジェクションの脆弱性があります。これにより、環境変数が操作可能な攻撃者がビルド環境でのリモートコード実行を実現できる可能性があります。この問題はバージョン10.27.0で修正済みです。
pnpmの特定バージョンにおけるコマンドインジェクションの脆弱性。
pnpmバージョン6.25.0から10.26.2の環境変数置換とtokenHelper設定。
攻撃者がビルド環境でリモートコード実行を達成できるため、重大。
pnpmをバージョン10.27.0にアップデートする。
情報なし
環境での特定バージョンと設定の使用を確認する。
References
- exploit github.com
- web security-advisories@github.com