CVE-2023-37478: pnpm يحلل أرشيفات tar بشكل غير صحيح مقارنةً بالمواصفات | Kitploit

CVE-2023-37478

حرجةتم النشر

pnpm يحلل أرشيفات tar بشكل غير صحيح مقارنةً بالمواصفات

تم النشر: 01‏/08‏/2023
محدث: 10‏/10‏/2024
تخصيص CNA: GitHub_M
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

1.2‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 66.6‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

pnpm هو مدير حزم. من الممكن إنشاء ملف tarball يكون آمنًا عند تثبيته عبر npm أو عند تحليله من قبل المستودع (registry)، ولكنه يكون خبيثًا عند تثبيته عبر pnpm، وذلك بسبب طريقة تحليل pnpm لأرشيفات tar. قد يؤدي هذا إلى استبدال حزمة تبدو آمنة في مستودع npm أو عند تثبيتها عبر npm بنسخة مخترقة أو خبيثة عند تثبيتها عبر pnpm. تم إصلاح هذه المشكلة في الإصدارات 7.33.4 و 8.6.8.

المصادر

CVE-2023-37478-DemoPoC
إثبات مفهوم لاستغلال CVE-2023-37478، يوضح ثغرة أمنية في تطبيق ويب مع قدرات استغلال آلية وجمع معلومات.
CVE-2023-37478_npm_vs_pnpmPoC
CVE-2023-37478 يُظهر كيف أن الاختلاف في تثبيت الحزم بين npm و pnpm يمكن استغلاله بواسطة حزمة tar.gz مُعدة جيدًا. يُظهر هذا المستودع عرضًا توضيحيًا.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.