JVNDB-2026-002036

pnpmにおける複数の脆弱性

pnpmはパッケージマネージャーです。バージョン10.28.2以前では、pnpmが`file:`（ディレクトリ）または`git:`依存関係をインストールする際に、シンボリックリンクをたどり、そのターゲットの内容をパッケージルートに制限せずに読み取ってしまいます。悪意のあるパッケージが絶対パス（例：`/etc/passwd`、`~/.ssh/id_rsa`）へのシンボリックリンクを含んでいる場合、pnpmはそのファイルの内容を`node_modules`にコピーしてしまい、ローカルのデータが漏洩する可能性があります。この脆弱性は`file:`および`git:`依存関係にのみ影響し、レジストリパッケージ（npm）については公開時にシンボリックリンクが除去されるため影響を受けません。この問題はローカル/ファイル依存関係をインストールする開発者およびgit依存関係をインストールするCI/CDパイプラインに影響を与え、`~/.aws/credentials`、`~/.npmrc`、`~/.ssh/id_rsa`へのシンボリックリンクを介した資格情報の窃取につながる可能性があります。この問題はバージョン10.28.2で修正されています。

pnpm

• pnpm 10.28.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Symlink traversal in file:/git dependencies leaks arbitrary local files  Advisory  pnpm/pnpm  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. リンク解釈の問題(CWE-59) [NVD評価]
3. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-24056

1. National Vulnerability Database (NVD) : CVE-2026-24056
2. 関連文書 : Release pnpm 10.28.2  pnpm/pnpm  GitHub
3. 関連文書 : fix: skip symlinks pointing outside package root in git and file deps…  pnpm/pnpm@b277b45  GitHub

• [2026年01月29日]
    掲載