pnpmはパッケージマネージャーです。バージョン10.28.2以前では、pnpmがパッケージの`directories.bin`フィールドを処理する際に、結果がパッケージルート内に留まるかどうかを検証せずに`path.join()`を使用していました。悪意のあるnpmパッケージは`"directories": {"bin": "../../../../tmp"}`を指定してパッケージディレクトリから脱出し、pnpmが任意の場所のファイルに対してchmod 755を実行させる可能性があります。この問題はUnix/Linux/macOSにのみ影響し、Windowsは影響を受けません（`fixBin`は`EXECUTABLE_SHEBANG_SUPPORTED`によって制御されています）。バージョン10.28.2にはこの問題を修正するパッチが含まれています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。