CVE-2026-59194
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W pnpm przed wersjami 10.34.4 i 11.7.0, spreparowany wpis łatki mógł rozwiązywać ścieżki poza skonfigurowanym katalogiem poprawek, co pozwalało na usunięcie dowolnego dostępnego pliku za pomocą polecenia pnpm patch-remove.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do usunięcia krytycznych plików systemowych lub aplikacji, co może prowadzić do przerwania działania usług lub utraty danych.
Rekomendacja
Należy niezwłocznie zaktualizować pnpm do wersji 10.34.4 lub 11.7.0, które zawierają poprawkę eliminującą to zagrożenie.
Oryginalny opis (angielski, źródło NVD)
pnpm is a package manager. Prior to 10.34.4 and 11.7.0, a crafted patch entry could resolve outside the configured patches directory and cause pnpm patch-remove to delete an arbitrary reachable file. This vulnerability is fixed in 10.34.4 and 11.7.0.