pnpmはパッケージマネージャーです。バージョン10.26.2以下では、HTTPタールボール依存関係（およびgitホストのタールボール）をインテグリティハッシュなしでロックファイルに保存していました。これにより、リモートサーバーはロックファイルがコミットされていても、インストールごとに異なるコンテンツを配信することが可能でした。攻撃者はHTTPタールボール依存関係を持つパッケージを公開することで、異なるユーザーやCI/CD環境に異なるコードを配信できます。この攻撃が成立するには、被害者が依存関係ツリーにHTTPまたはgitタールボールを持つパッケージをインストールする必要があります。被害者のロックファイルは保護を提供しません。この問題はバージョン10.26.0で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。