CVE-2026-55700
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 — wyżej niż 17% wszystkich znanych CVE
Streszczenie
Menedżer pakietów pnpm w wersjach od 11.3.0 do 11.5.3 zawiera podatność, w której polecenie `pnpm stage download` tworzyło lokalną nazwę pliku na podstawie nazwy pakietu i wersji pochodzących z rejestru. Złośliwy manifest mógł spowodować zapis pliku poza wybranym katalogiem docelowym, nadpisując inny dostępny plik.
Ocena ryzyka
Atakujący może nadpisać dowolny plik w systemie, do którego ma dostęp użytkownik uruchamiający pnpm, co może prowadzić do naruszenia integralności danych lub wykonania złośliwego kodu.
Rekomendacja
Należy natychmiast zaktualizować pnpm do wersji 11.5.3 lub nowszej, która zawiera poprawkę walidującą nazwę pakietu i wersję oraz weryfikującą docelową lokalizację przed zapisem.
Oryginalny opis (angielski, źródło NVD)
pnpm is a package manager. From 11.3.0 until 11.5.3, `pnpm stage download` derived a local filename from registry-controlled package name and version fields. A crafted manifest could escape the selected download directory and overwrite another reachable file. The merged fix validates both fields, derives one safe filename, and verifies the final destination before writing. This vulnerability is fixed in 11.5.3.