CVE-2025-59433

Nome do Software Vulnerável e Versões Afetadas Versões do Conventional Changelog anteriores à 2.0.0

Descrição A biblioteca @conventional-changelog/git-client, versões anteriores à 2.0.0, contém uma falha na API getTags() que permite injeção de argumentos no comando git log. Isso ocorre porque a API não sanitiza a entrada do usuário, não valida parâmetros, nem utiliza corretamente os caracteres POSIX de dois hífens (--) para sinalizar o fim das opções ao passar flags de linha de comando para o binário git. Especificamente, a opção de linha de comando --output= pode ser explorada para sobrescrever arquivos arbitrários. A API getRawCommits() implementa práticas seguras para prevenir injeção de argumentos, mas essas práticas não são aplicadas à getTags(). Uma exploração envolve fornecer parâmetros maliciosos para a função getTags(), potencialmente levando à criação ou sobrescrita de arquivos no sistema, incluindo arquivos de configuração sensíveis, caso a aplicação esteja sendo executada com privilégios elevados.

Recomendações Atualize para o Conventional Changelog versão 2.0.0 ou superior.