pnpmはパッケージマネージャーです。バージョン10.28.1以前のpnpmのbinリンク作成において、パストラバーサルの脆弱性が存在しました。悪意のあるnpmパッケージが`node_modules/.bin`外部に実行可能なシムまたはシンボリックリンクを作成できる可能性があります。`@`で始まるbin名は検証を回避し、スコープの正規化後も`../../`のようなパストラバーサルのシーケンスがそのまま残っていました。この問題はnpmパッケージをインストールするすべてのpnpmユーザーおよびpnpmを使用するCI/CDパイプラインに影響を与え、設定ファイルやスクリプト、その他の機密ファイルの上書きを招く可能性があります。バージョン10.28.1で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。