pnpmはパッケージマネージャーです。バージョン10.28.2以前では、pnpmが`file:`（ディレクトリ）または`git:`依存関係をインストールする際に、シンボリックリンクをたどり、そのターゲットの内容をパッケージルートに制限せずに読み取ってしまいます。悪意のあるパッケージが絶対パス（例：`/etc/passwd`、`~/.ssh/id_rsa`）へのシンボリックリンクを含んでいる場合、pnpmはそのファイルの内容を`node_modules`にコピーしてしまい、ローカルのデータが漏洩する可能性があります。この脆弱性は`file:`および`git:`依存関係にのみ影響し、レジストリパッケージ（npm）については公開時にシンボリックリンクが除去されるため影響を受けません。この問題はローカル/ファイル依存関係をインストールする開発者およびgit依存関係をインストールするCI/CDパイプラインに影響を与え、`~/.aws/credentials`、`~/.npmrc`、`~/.ssh/id_rsa`へのシンボリックリンクを介した資格情報の窃取につながる可能性があります。この問題はバージョン10.28.2で修正されています。
|