Критический

PoC

Опубликована

CVE-2026-50021

pnpm: Integrity Check Bypass via Missing Lockfile Integrity Field

Публикация: 25.06.2026·Обновлена: 04.11.2026, 02:17·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

pnpm is a package manager. Prior to 10.34.0 and 11.4.0, pnpm's tarball extraction worker skips integrity verification when the integrity field is absent from the lockfile resolution. If an attacker can both modify pnpm-lock.yaml to remove the integrity: field and cause the referenced registry URL to serve altered package content, pnpm install --frozen-lockfile can install the altered package without an integrity error. npm's npm ci enforces integrity by default; pnpm's behavior of silently skipping verification is a pnpm-specific fail-open gap. This vulnerability is fixed in 10.34.0 and 11.4.0.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

pnpm / pnpm

{
  "status": "affected",
  "version": "< 10.34.0"
}

{
  "status": "affected",
  "version": ">= 11.0.0, < 11.4.0"
}

pnpm / pnpm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "10.34.0"
}

cpe:2.3:a:pnpm:pnpm:*:*:*:*:*:node.js:*:*

pnpm / pnpm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.4.0",
  "versionStartIncluding": "11.0.0"
}

cpe:2.3:a:pnpm:pnpm:*:*:*:*:*:node.js:*:*

pnpm npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.4.0",
  "versionStartIncluding": "11.0.0"
}

pnpm npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "10.34.1"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.8

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьнет

CVSS 3.1 · security-advisories@github.com6.8

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьнет

CVSS 3.1 · nvd@nist.gov8.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьнет

Классы CWE

CWE-354 · Неправильная валидация ценности проверки целостности

Источники и ссылки

PoC / эксплойт · github.com · cve Материал · nvd.nist.gov · osv Материал · github.com · osv CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:17:54.049500+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-03T22:27:46.710016+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-03T22:27:46.710016+00:00"
  },
  "affected": [
    "cve",
    "nvd",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-03T22:27:46.710016+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:17:54.049500+00:00"
  },
  "references": [
    "cve",
    "nvd",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-03T22:27:46.710016+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

Данные обновлены05.11.2026, 00:17
Данные обновлены04.11.2026, 02:46
Данные обновлены04.11.2026, 00:13
Данные обновлены03.11.2026, 00:13
Данные обновлены02.11.2026, 15:15
Данные обновлены02.11.2026, 00:11
Данные обновлены31.10.2026, 11:58
Данные обновлены29.10.2026, 12:30
Появилась ссылка на PoC29.10.2026, 00:23

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-82393 pnpm: A tarball dependency's manifest `name` escapes node_modules → arbitrary file write/overwrite on install pnpm / pnpm · pnpm	Критический	7.5	0,63 %	PoC	01.09.2026
CVE-2026-50573 pnpm: Unsafe default behavior breaks integrity check pnpm / pnpm · pnpm	Критический	8.1	0,17 %	PoC	25.06.2026
CVE-2026-50014 pnpm: Git Fetch Argument Injection via Lockfile resolution.commit pnpm / pnpm · pnpm	Критический	7.3	0,32 %	PoC	25.06.2026
CVE-2026-101043 pnpm 11.0.0 before 11.11.0 Environment Variable Exfiltration via Proxy Settings pnpm / pnpm · pnpm	Критический	8.3	0,29 %	PoC	27.09.2026
CVE-2026-101044 pacquet before 12.0.0-alpha.5 Path Traversal via lockfile alias pnpm / pnpm	Высокий	7.1	0,26 %		27.09.2026