Защитная диагностика pnpm virtual store linker по ghsa-c59q-g84q-2gj5: применимость, обратимый локальный control, измеримый verdict, stop-rule и пакет данных для владельца системы.
Короткий ответ — pnpm: depPath внутри virtual store
Задача страницы — проверить на временном каталоге, что pnpm не строит путь virtual store из непроверенного depPath name. Advisory ghsa-c59q-g84q-2gj5 служит свежим inventory-сигналом, но не доказывает состояние конкретной установки. Зафиксируйте фактически загруженный pnpm virtual store linker, lock-файл или image digest и границу «pnpm: introduced 0, fixed 10.34.5; pnpm: introduced 11.0.0, fixed 11.11.0». Пользовательская боль здесь одна: значение из lockfile может направить linker к записи за пределами virtual store. Итогом должен стать артефакт «depPath class / parsed name / destination / containment / fs calls», чтобы другой инженер повторил решение без production-данных, внешнего воздействия и догадок.
Граница применимости для pnpm virtual store linker
Разберите путь решения как «lockfile depPath → package-name parser → store path → realpath containment → write adapter». Для каждого перехода укажите владельца значения, тип входа, допустимое состояние и запрещённый side effect. Проверяемая инварианта: вычисленный destination остаётся descendant virtual store до любой mkdir, link или write операции. NOT_APPLICABLE возможен только при доказанном отсутствии компонента или недостижимости указанной ветки; неизвестный digest, effective config или способ вызова дают UNKNOWN. Номер исправленного релиза без runtime readback не превращает результат в PASS.
Почему проверки версии недостаточно
Lock-файл, SBOM, container digest и вывод package manager отвечают на разные вопросы. Сведите их в одну строку provenance и сопоставьте с advisory-границей «pnpm: introduced 0, fixed 10.34.5; pnpm: introduced 11.0.0, fixed 11.11.0». Затем докажите effective путь «lockfile depPath → package-name parser → store path → realpath containment → write adapter»: vendored копия, optional dependency, отдельный worker или отключённый adapter могут изменить применимость. Фиксируйте AFFECTED_PATH, PATCHED_PATH, COMPONENT_ABSENT либо PROVENANCE_UNKNOWN. Отсутствие инцидента и успешный health-check не подтверждают инварианту «вычисленный destination остаётся descendant virtual store до любой mkdir, link или write операции».
Безопасный обратимый локальный control
Работайте только в disposable fixture: использовать минимальный синтетический lockfile и spy filesystem, сравнив benign и boundary name без установки пакетов. Сеть, subprocess, production database, реальные bucket, очереди, почту, токены и пользовательские файлы замените fake, spy или in-memory адаптерами. До запуска сохраните baseline hash, нулевые counters, лимит времени, памяти и числа операций. Используйте короткие синтетические маркеры без эксплуатационного payload. После каждой строки восстанавливайте fixture и убеждайтесь, что benign control начинается с того же baseline.
Матрица наблюдений
Сначала benign control доказывает достижение целевой функции. Затем boundary-case меняет ровно один признак, связанный с болью «значение из lockfile может направить linker к записи за пределами virtual store». Записывайте «depPath class / parsed name / destination / containment / fs calls», reason code, duration, counters до и после и digest fixture. Основная инварианта остаётся: вычисленный destination остаётся descendant virtual store до любой mkdir, link или write операции. Если control не достигает ветки, recorder пропустил side effect или точка наблюдения двусмысленна, ставьте UNKNOWN. Нельзя усиливать вход ради определённого ответа: безопасная воспроизводимость важнее красивого PASS.
PASS, FAIL, UNKNOWN и критерий остановки
PASS требует подтверждённого provenance, успешного benign control, соблюдения инварианты «вычисленный destination остаётся descendant virtual store до любой mkdir, link или write операции», нулевых запрещённых side effects и cleanup proof. FAIL — тот же подтверждённый путь плюс наблюдаемое нарушение policy. UNKNOWN означает отсутствие digest, effective config, recorder или возможности восстановить fixture. Немедленная красная линия: fs spy увидел операцию вне root или реальная установка/скрипт был запущен. При ней прекратите тест, сохраните только минимальные метаданные и не повторяйте boundary-case на большем масштабе.
Восстановление и regression check
Удалите disposable state, верните adapters к baseline и сравните hashes, counters, память и открытые ресурсы. Неожиданный I/O, сетевой вызов, процесс, новая строка БД или оставшийся файл блокирует PASS. После обновления повторите тот же fixture без изменения входов и лимитов; сравните «depPath class / parsed name / destination / containment / fs calls». Так видно, изменился ли защищаемый переход «lockfile depPath → package-name parser → store path → realpath containment → write adapter», а не окружение, объём данных или наблюдатель.
Почему intent самостоятельный и что передать владельцу
Страница изолирует путь linker из depPath и не смешивает его с tarball extraction или lifecycle scripts. Поэтому материал отвечает на самостоятельный запрос «проверить на временном каталоге, что pnpm не строит путь virtual store из непроверенного depPath name» и не является механической заменой бренда, ОС или устройства. Передайте владельцу ghsa-c59q-g84q-2gj5, component digest, effective version/config, границу «pnpm: introduced 0, fixed 10.34.5; pnpm: introduced 11.0.0, fixed 11.11.0», схему «lockfile depPath → package-name parser → store path → realpath containment → write adapter», control/boundary rows, артефакт «depPath class / parsed name / destination / containment / fs calls», verdict, stop reason и cleanup proof. Advisory опубликована 2026-09-02 и обновлена 2026-09-02; даты подтверждают свежесть источника, но не популярность запроса, факт эксплуатации или применимость к конкретному deployment.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — ghsa-c59q-g84q-2gj5 проверено 2026-09-03
- Первичный upstream advisory — pnpm virtual store linker проверено 2026-09-03
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.