pnpm の記事一覧 | プランタン - printemps tokyoブログ

pnpm のパッチ機能に潜むパストラバーサル - CVE-2026-50015 とは何か

2026年6月29日約16分

2026年6月、pnpm のパッチ適用パイプライン（patchedDependencies / @pnpm/patch-package）に複数のパストラバーサル脆弱性が公開されました。中心となる CVE-2026-50015 は、悪意ある .patch ファイルの diff --git ヘッダに ../ を仕込むと、pnpm install 実行時にパッケージディレクトリ外へ任意ファイルを書き込める問題です。攻撃の仕組み、影響バージョン、修正版、自分が影響を受けるかの確認方法と対処を、GHSA と NVD の一次情報で整理します。

pnpm セキュリティサプライチェーン npm Node.js

pnpm 10 のサプライチェーン防御 - postinstall を止めて依存を「承認」する

2026年6月5日約8分

pnpm 10 はインストール時の依存のビルドスクリプト（postinstall 等）をデフォルトでブロックし、明示的に承認した依存だけ実行します。onlyBuiltDependencies や approve-builds、minimumReleaseAge を使った現実的なサプライチェーン防御設定を、手元の pnpm 10.12.4 の挙動を確認しながら整理します。