CVE-2022-25865

Versões do workspace-tools anteriores à 0.18.4

O problema diz respeito à injeção de comando por meio da injeção de argumentos do git. Quando a função fetchRemoteBranch(remote: string, remoteBranch: string, cwd: string) é chamada, os parâmetros remote e remoteBranch são passados para o subcomando git fetch de uma forma que permite a definição de sinalizadores adicionais, os quais podem ser usados para realizar uma injeção de comando.

Para versões anteriores à 0.18.4, atualize para a versão 0.18.4 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o uso da função fetchRemoteBranch() até que um patch esteja disponível.

Evite usar os parâmetros remote e remoteBranch na função fetchRemoteBranch() afetada até que o problema seja resolvido.