Vulnérabilité dans pnpm (CVE-2026-50021)
Résumé
Vulnérabilité dans pnpm (CVE-2026-50021). Des informations confidentielles peuvent être exposées. Exploitable via integrity. Atténuation : mise à jour vers 10.34.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
pnpm's tarball extraction worker skips integrity verification when the integrity field is absent from the lockfile resolution. If an attacker can both modify pnpm-lock.yaml to remove the integrity: field and cause the referenced registry URL to serve altered package content, pnpm install --frozen-lockfile can install the altered package without an integrity error. npm's npm ci enforces integrity by default; pnpm's behavior of silently skipping verification is a pnpm-specific fail-open gap.
Vulnerability Details
The addTarballToStore function in worker/src/start.ts (lines 189-204) checks if (integrity) before verifying the tarball hash. The TarballResolution type declares integrity as optional (integrity?: string). When the lockfile omits the integrity field, the guard evaluates to false, skipping hash verification entirely. The worker then computes a new hash from the unverified content and stores it as legitimate.
// worker/src/start.ts:189-204
function addTarballToStore ({ buffer, storeDir, integrity, ... }: TarballExtractMessage) {
if (integrity) { // false when integrity is undefined
const { algorithm, hexDigest } = parseIntegrity(integrity)
const calculatedHash = crypto.hash(algorithm, buffer, 'hex')
if (calculatedHash !== hexDigest) {
return { status: 'error', error: { type: 'integrity_validation_failed', ... } }
}
}
return {
status: 'success',
value: { integrity: int…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-50021 a été découverte dans pnpm.
Des attaquants peuvent cibler un point d'entrée spécifique comme integrity à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.8/10.
Action : mettez à jour pnpm vers 10.34.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « pnpm CVE-2026-50021 » sur le site de l'éditeur.
CVE-2026-50021 (pnpm) — CWE-354 / CVSS v3 6.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : integrity / addTarballToStore / TarballResolution / false
Correctif : 10.34.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-354) affecte pnpm. Les attaquants atteignent le code vulnérable via integrity.
Consultez l'avis de l'éditeur pour les versions affectées de pnpm. Surface d'attaque : integrity / addTarballToStore / TarballResolution / false.
Gravité : Moyenne (CVSS 6.8/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 10.34.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'pnpm' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
pnpmを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade pnpm to 10.34.1ステージング環境で 10.34.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com