まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
トピック: pnpm解除
pnpm 11.6.0では、悪意あるリポジトリがプロジェクトの.npmrcを通じて認証情報を外部に流出させられるセキュリティ脆弱性(GHSA-3qhv-2rgh-x77r)が修正されました。あわせて、ロックファイル削除時の再解決を省略する高速化やネットワーク並列数の見直し、環境変数によるレジストリ認証設定など複数の改善が加わっています。
pnpmの最新パッチ版10.34.4がリリースされ、pnpm-workspace.yamlやlockfileのエイリアスを悪用したパストラバーサル攻撃を防ぐセキュリティ修正が複数含まれました。また.npmrcの警告メッセージが引き起こしうるコマンドインジェクションのリスクも解消されています。悪意あるリポジトリを`pnpm install`した際の被害範囲を狭める内容です。
pnpm 10.34.5では、悪意のあるpnpm-lock.yamlやスコープ付きパッケージ名を利用して仮想ストア外にファイルを書き込めるパストラバーサル脆弱性が2件修正されました。あわせてpnpm v12への切り替え・自動更新の不具合と、pnpm-workspace.yaml経由のプロキシ設定における環境変数展開の問題も解消されています。
パッケージマネージャーpnpmのバージョン11.11がリリースされました。新機能としてレジストリ上のパッケージ権限を管理する`pnpm access`コマンドが追加され、同時に複数のパストラバーサル脆弱性の修正やクレデンシャル漏洩対策など、セキュリティ関連のパッチが多数含まれています。加えて依存解決時のメモリ使用量を約30%削減する改善も行われました。