p PatchFirst

CVE-2025-69262

CVE-2025-69262 · pnpm vulnerable to Command Injection via environment variable substitution

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

pnpm is a package manager. Versions 6.25.0 through 10.26.2 have a Command Injection vulnerability when using environment variable substitution in .npmrc configuration files with tokenHelper settings. An attacker who can control environment variables during pnpm operations could achieve Remote Code Execution (RCE) in build environments. This issue is fixed in version 10.27.0.

CVSS 7.6 · Élevée · EPSS 1,0% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • pnpm

    Versions du logiciel
    • >=6.25.0, < 10.27.0: Concernée

    Aucun correctif publié

  • pnpm npm

    Plages de versions concernées
    • SEMVER: ≥ 6.25.0, < 10.27.0

    Mettez à jour vers 10.27.0

Sources originales

Vérifiez votre serveur →