p PatchFirst

CVE-2026-55180

CVE-2026-55180 · pnpm: Repository config can expand victim environment secrets into registry requests before scripts run

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

pnpm is a package manager. Prior to 10.34.2 and 11.5.3, pnpm and pacquet expanded ${ENV_VAR} placeholders from repository-controlled .npmrc and pnpm-workspace.yaml into registry request destinations and registry credentials. A malicious repository could cause dependency resolution to send victim environment secrets to an attacker-selected registry before lifecycle scripts run. This vulnerability is fixed in 10.34.2 and 11.5.3.

CVSS 6.5 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • pnpm

    Versiones
    • < 10.34.2: Afectada
    • >= 11.0.0, < 11.5.3: Afectada

    Sin corrección publicada

  • pnpm npm

    Intervalos de versiones afectados
    • SEMVER: < 10.34.2

    Actualiza a 10.34.2

  • pnpm npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 11.0.0, < 11.5.3

    Actualiza a 11.5.3

Fuentes originales

Comprueba tu servidor →