注目★★★★★GitHub Advisory
pnpm にパス走査脆弱性、`stage download` で任意ファイル上書き可能
30秒で把握
- 1pnpm が `stage download` のパス走査脆弱性 (CVE-2026-55700) を修正・マニフェストの名前/バージョンからの安全なファイル名導出を実装
- 2修正前は登録済みパッケージの細工されたバージョンでダウンロード先ディレクトリ外のファイル上書き・修正後はバリデーション追加により拒否
- 3pnpm ユーザーは修正版への更新を確認・外部レジストリからのダウンロード権限設定を見直し
要約
pnpm の `stage download` コマンドに CVE-2026-55700 が報告された。パッケージ名とバージョンがレジストリから操作可能な場合、細工されたマニフェストでダウンロードディレクトリ外のファイルを上書きされる可能性があった。修正版ではパッケージ名とバージョンをバリデーションし、安全なファイル名を導出した上で書き込み先を検証している。
あなたへの影響
pnpm を本番運用するチームはこの修正版への更新優先度を確認し、非検証パッケージからのダウンロード権限を現行バージョンで制限すべき。
推奨：バージョン検証が有効になるまでは stage download の使用シーンを評価してください。