pnpmはパッケージマネージャーです。バージョン10.0.0から10.25までの間において、gitホストの依存関係がpnpm install中に任意のコードを実行できるため、v10のセキュリティ機能「依存関係のライフサイクルスクリプトの実行はデフォルトで無効」を回避できます。pnpm v10はonlyBuiltDependenciesメカニズムを通じてpostinstallスクリプトをブロックしますが、git依存関係はfetchフェーズ中にprepare、prepublish、prepackスクリプトを実行可能であり、ユーザーの同意や承認なしにリモートコードを実行させてしまいます。この問題はバージョン10.26.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。