Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-59195 là lỗ hổng Improper Limitation of a Pathname to a Restricted Directory ảnh hưởng tới pnpm (phiên bản bị ảnh hưởng: < 10.34.4 và >= 11.0.0, < 11.8.0). Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 8.2. Lỗ hổng này đã có mã hoặc bằng chứng khai thác công khai, nhưng điều đó chưa xác nhận việc khai thác trong thực tế.
pnpm là một package manager. Trước 10.34.4 và 11.8.0, pnpm chấp nhận tên package từ phần configDependencies của env lockfile và sử dụng trực tiếp các tên đó khi tạo symlink config dependency bên dưới node_modules/.pnpm-config. Một repository độc hại có thể commit pnpm-lock.yaml được tạo thủ công, trong đó document env-lockfile chứa tên config dependency có dạng traversal. Trong quá trình pnpm install, pnpm cài đặt config dependency và tạo symlink tại một đường dẫn được dẫn xuất từ tên đó. Lỗ hổng này được khắc phục trong 10.34.4 và 11.8.0.
Nguyên nhân là lỗi CWE-22: pnpm dùng dữ liệu bên ngoài để tạo pathname nhưng không giới hạn đúng trong thư mục đích. pnpm đọc các key tên package từ phần configDependencies của env lockfile rồi dùng trực tiếp các key này làm thành phần đường dẫn khi tạo symlink bên dưới node_modules/.pnpm-config. Nếu tên package chứa thành phần.., phép nối đường dẫn có thể tạo đích nằm ngoài thư mục dự kiến. Input do attacker kiểm soát là pnpm-lock.yaml được commit trong repository; lỗi được kích hoạt khi chạy pnpm install. Advisory xác nhận hành vi này vẫn xảy ra với --ignore-scripts và trong giai đoạn cài config dependency, trước khi cài dependency thông thường, nên không cần lifecycle script. Phạm vi file có thể bị tác động phụ thuộc vào quyền truy cập đường dẫn và đặc điểm nền tảng; bằng chứng hiện có không xác định mọi đích có thể tiếp cận trong từng môi trường.
Lỗi có thể bị khai thác từ xa theo mô hình attacker đưa một repository độc hại hoặc đã bị compromise cho nạn nhân và nạn nhân chạy pnpm install. Không cần quyền trước trên hệ thống pnpm, nhưng cần user interaction để cài đặt repository. Điều kiện khai thác có độ phức tạp thấp vì dữ liệu độc hại nằm trong pnpm-lock.yaml. Advisory của vendor công khai một local-only proof of concept chứng minh việc tạo symlink ra ngoài thư mục dự kiến; record cũng đánh dấu public exploit là có. Bằng chứng được cung cấp xác định proof of concept nhưng không nêu một campaign hoặc victim cụ thể.
pnpm có thể tạo symlink nằm ngoài thư mục config dependency dự kiến, tạo ra primitive ghi file trong project directory và trong một số điều kiện có thể ảnh hưởng các đường dẫn bên ngoài project. Hậu quả thực tế phụ thuộc vào quyền của tiến trình pnpm, vị trí workspace và giới hạn filesystem của nền tảng. Tác động chính được chứng minh là lên tính toàn vẹn của file; record không xác lập việc đọc dữ liệu hoặc đánh cắp thông tin. Vì user phải cài repository độc hại, rủi ro tập trung vào developer workstation, build runner và các môi trường tự động xử lý source không tin cậy.
Lỗi cho phép một repository độc hại tác động đến vị trí mà pnpm tạo symlink trong filesystem của môi trường cài đặt.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
