pnpmはパッケージマネージャーです。バージョン6.25.0から10.26.2までにおいて、.npmrc構成ファイルのtokenHelper設定で環境変数の置換を使用する際にコマンドインジェクションの脆弱性が存在します。pnpmの操作中に環境変数を制御できる攻撃者は、ビルド環境でリモートコード実行（RCE）を達成する可能性があります。この問題はバージョン10.27.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。