CVE-2022-21223

Versões do cocoapods-downloader anteriores à 1.6.2

A vulnerabilidade permite a injeção de comando por meio da injeção do argumento hg. Quando a função de download é chamada usando hg, a URL e/ou a revisão, tag e ramificação são passadas para o comando hg clone de uma forma que permite a definição de sinalizadores adicionais, os quais podem ser usados para realizar uma injeção de comando.

Para versões anteriores à 1.6.2, atualize para a versão 1.6.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso do argumento hg na função de download para minimizar o risco de exploração.