CVE-2024-47829
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
pnpm to menedżer pakietów, który przed wersją 10.0.0 używał funkcji md5 do skracania ścieżek. W przypadku kolizji, różne biblioteki mogłyby mieć tę samą ścieżkę przechowywania, co prowadzi do problemów z identyfikacją wersji.
Ocena ryzyka
Organizacje mogą napotkać problemy z zarządzaniem zależnościami, co może prowadzić do nieprzewidywalnych zachowań aplikacji oraz trudności w aktualizacji bibliotek.
Rekomendacja
Zaleca się aktualizację pnpm do wersji 10.0.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
pnpm is a package manager. Prior to version 10.0.0, the path shortening function uses the md5 function as a path shortening compression function, and if a collision occurs, it will result in the same storage path for two different libraries. Although the real names are under the package name /node_modoules/, there are no version numbers for the libraries they refer to. This issue has been patched in version 10.0.0.