CVE-2026-101044
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
pacquet, komponent menedżera pakietów Rusta dostarczany w pakietach pnpm npm w wersjach >=12.0.0-alpha.0 i <12.0.0-alpha.5, nie sprawdza poprawności aliasów zależności/ścieżek nazw pobranych z pliku blokującego przed użyciem ich podczas łączenia systemu plików w czasie instalacji. Gdy użytkownik instaluje projekt z plikiem blokującym dostarczonym przez atakującego przy użyciu --trust-lockfile lub zamrożonego pliku blokującego, wpisy aliasów zawierające segmenty przejścia ścieżki (na przykład „../../escaped-link”) są używane podczas tworzenia łączy zależności i pakietów, miejsc docelowych bin, podniesionych wpisów i gniazd magazynu wirtualnego, umożliwiając tworzenie dowiązań symbolicznych i katalogów poza zamierzoną granicą projektu i modułów węzłów. Wersja 12.0.0-alpha.5 sprawdza nazwy zależności i każdą ścieżkę gniazda magazynu wirtualnego za pomocą współdzielonego pomocnika bezpiecznego łączenia przed materializacją systemu plików, odrzucając nazwy przechodzenia, bezwzględne, specyficzne dla platformy i zarezerwowane za pomocą ERR_PNPM_INVALID_DEPENDENCY_NAME.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org