Summary
Vulnerability in pnpm (CVE-2025-69263). Successful exploitation can lead to full system takeover. Exploitable via victim. Mitigation: upgrade to >=10.26.0 or later.
Original description
The description as published by the source.
pnpm is a package manager. Versions 10.26.2 and below store HTTP tarball dependencies (and git-hosted tarballs) in the lockfile without integrity hashes. This allows the remote server to serve different content on each install, even when a lockfile is committed. An attacker who publishes a package with an HTTP tarball dependency can serve different code to different users or CI/CD environments. The attack requires the victim to install a package that has an HTTP/git tarball in its dependency tree. The victim's lockfile provides no protection. This issue is fixed in version 10.26.0.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
pnpmは、バージョン10.26.2以下で、HTTP共有のtarball依存関係を整合性ハッシュなしでロックファイルに保存していました。これにより、悪意のあるサーバーが異なるコンテンツを各インストール時に提供する可能性があります。攻撃者はパッケージを公開し、異なるユーザーやCI/CD環境に異なるコードを提供することができます。この問題はバージョン10.26.0で修正されました。
pnpmのバージョン10.26.2以下でHTTP tarball依存関係が整合性ハッシュなしで保存されている欠陥。
バージョン10.26.2以下のpnpm
攻撃者が異なるコードをユーザーやCI/CD環境に提供可能で、高リスクの脆弱性。
バージョン10.26.0にアップデートすることで修正可能。
影響を受けるバージョンを使用しない。
依存関係にHTTP tarballが含まれるか確認する。