pnpmはパッケージマネージャーです。バージョン10.28.1以前のpnpmには、tarballの展開時にパス・トラバーサルの脆弱性が存在しており、悪意のあるパッケージがWindows上でパッケージディレクトリ外のファイルを書き込むことが可能です。パスの正規化では「./」のみをチェックし、「.\」はチェックしていません。Windowsではバックスラッシュがディレクトリ区切り文字として使われているため、パス・トラバーサルが発生します。この脆弱性はWindowsのみが影響を受けます。この問題はWindowsのpnpmユーザーおよびWindowsのCI/CDパイプライン（GitHub ActionsのWindowsランナー、Azure DevOps）に影響を与えます。これにより、.npmrc、ビルド設定ファイル、その他のファイルが上書きされる可能性があります。バージョン10.28.1で修正パッチが提供されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。