JVNDB-2026-021665

pnpmにおける複数の脆弱性

pnpmはパッケージマネージャーです。10.34.2および11.5.3より前のバージョンでは、pnpmはコマンド実行前にpnpm-workspace.yamlで宣言されたconfigDependenciesをインストールすることができました。修正前は、リポジトリがpacquetまたは@pnpm/pacquetをconfig依存関係として宣言すると、pnpmはそのリポジトリ管理下の依存関係をインストールエンジンのオプトインとして扱っていました。インストール中、pnpmはnode_modules/.pnpm-config/packageNameからプラットフォーム固有の@pacquet/platform-arch/pacquetバイナリを解決し、開発者またはCIユーザーとしてそれを起動していました。この脆弱性は10.34.2および11.5.3で修正されました。

pnpm

• pnpm 10.34.2 未満
• pnpm 11.0.0 以上 11.5.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CAND-PNPM-097: Repository-controlled configDependencies can select a pacquet native install engine  Advisory  pnpm/pnpm  GitHub

1. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]
2. OSコマンドインジェクション(CWE-78) [その他]
3. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-55697

1. National Vulnerability Database (NVD) : CVE-2026-55697

• [2026年07月01日]
    掲載