JVNDB-2026-021664

pnpmにおける複数の脆弱性

pnpmはパッケージマネージャーです。バージョン10.34.2および11.5.3以前のpnpmでは、pnpm-lock.yamlの最初のYAMLドキュメントにパッケージマネージャーブートストラップのメタデータを永続化することができました。パッチ適用前は、直接pnpmを実行すると、コミットされた環境ロックファイルにpnpmおよび@pnpm/exeのバージョンが一致している場合、すでに解決されたpackageManagerDependenciesエントリを信頼していました。そのため、悪意のあるリポジトリはパッケージマネージャーのロックファイルのパッケージレコードおよびスナップショットをコミットし、新たなパッケージマネージャーの解決を回避させることが可能でした。また、コミットされたロックファイルの状態により、自動バージョン切り替え時にpnpmが選択したバイトをインストールして実行させることも可能でした。この脆弱性はバージョン10.34.2および11.5.3で修正されています。

pnpm

• pnpm 10.34.2 未満
• pnpm 11.0.0 以上 11.5.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CAND-PNPM-063: Project env lockfile can short-circuit package-manager resolution and execute lockfile-selected pnpm bytes  Advisory  pnpm/pnpm  GitHub

1. データの信頼性についての不十分な検証(CWE-345) [その他]
2. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]
3. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-55698

1. National Vulnerability Database (NVD) : CVE-2026-55698

• [2026年07月01日]
    掲載