Primary Sources Only

Tech / AI ニュース

まとめでも翻訳でもない。公式発表を、AIが日本語でわかりやすく。

トピック: pnpm解除

pnpm 10.34.5リリース、lockfileやパッケージ名を悪用したパストラバーサルの脆弱性を修正

pnpm重要度 852026/7/10

ワンポイントlockfileやパッケージ名を悪用した仮想ストア外書き込みの脆弱性を修正

pnpm 10.34.5では、悪意のあるpnpm-lock.yamlやスコープ付きパッケージ名を利用して仮想ストア外にファイルを書き込めるパストラバーサル脆弱性が2件修正されました。あわせてpnpm v12への切り替え・自動更新の不具合と、pnpm-workspace.yaml経由のプロキシ設定における環境変数展開の問題も解消されています。

pnpm security nodejs

pnpm 11.11リリース、パストラバーサル脆弱性の修正とpnpm accessコマンドを追加

pnpm重要度 722026/7/9

ワンポイントpnpmの複数パストラバーサル脆弱性を修正、更新推奨

パッケージマネージャーpnpmのバージョン11.11がリリースされました。新機能としてレジストリ上のパッケージ権限を管理する`pnpm access`コマンドが追加され、同時に複数のパストラバーサル脆弱性の修正やクレデンシャル漏洩対策など、セキュリティ関連のパッチが多数含まれています。加えて依存解決時のメモリ使用量を約30%削減する改善も行われました。

pnpm security nodejs