🇰🇷 한글 설명
pnpm 10.28.1 이전 버전에서 Windows 환경 사용 시 발생하는 경로 탐색 취약점입니다. 악성 패키지가 백슬래시(\)를 이용해 패키지 디렉토리 외부의 파일을 덮어쓸 수 있습니다.
💡 쉬운 설명
pnpm이라는 도구를 쓸 때, 나쁜 파일을 설치하면 컴퓨터의 중요한 설정 파일을 몰래 바꿀 수 있는 문제입니다. 윈도우 컴퓨터를 사용하는 경우에만 해당됩니다.
🇺🇸 원문 (English)
pnpm is a package manager. Prior to version 10.28.1, a path traversal vulnerability in pnpm's tarball extraction allows malicious packages to write files outside the package directory on Windows. The path normalization only checks for `./` but not `.\`. On Windows, backslashes are directory separators, enabling path traversal. This vulnerability is Windows-only. This issue impacts Windows pnpm users and Windows CI/CD pipelines (GitHub Actions Windows runners, Azure DevOps). It can lead to overwriting `.npmrc`, build configs, or other files. Version 10.28.1 contains a patch.
📍 영향받는 시스템
pnpm 10.28.1 미만 버전 (Windows 환경 한정)
⚔️ 공격 벡터
악성 패키지 내의 경로에 백슬래시(\)를 포함하여 패키지 외부 디렉토리로 파일 쓰기 시도
🛡️ 대응 방법
pnpm을 최신 버전인 10.28.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.28.1보다 낮으면 취약한 상태입니다.
pnpm --version | awk '{print $1}'