Vulnerabilidad en pnpm (CVE-2026-23888)

pnpm es un gestor de paquetes. Antes de la versión 10.28.1, una vulnerabilidad de salto de ruta en el recuperador de binarios de pnpm permite a paquetes maliciosos escribir archivos fuera del directorio de extracción previsto. La vulnerabilidad tiene dos vectores de ataque: (1) Entradas ZIP maliciosas que contienen '../' o rutas absolutas que escapan de la raíz de extracción a través de 'extractAllTo' de AdmZip, y (2) El campo 'BinaryResolution.prefix' se concatena en la ruta de extracción sin validación, permitiendo que un prefijo manipulado como '../../evil' redirija los archivos extraídos fuera de 'targetDir'. El problema afecta a todos los usuarios de pnpm que instalan paquetes con activos binarios, a los usuarios que configuran ubicaciones de binarios de Node.js personalizadas y a las tuberías CI/CD que auto-instalan dependencias binarias. Puede llevar a la sobrescritura de archivos de configuración, scripts u otros archivos sensibles, lo que lleva a RCE. La versión 10.28.1 contiene un parche.