CVE-2025-61141

Nome do Software Vulnerável e Versões Afetadas sqls-server/sqls versão 0.2.28

Descrição sqls-server/sqls versão 0.2.28 contém uma vulnerabilidade de injeção de comando no comando config. A função openEditor passa a variável de ambiente EDITOR e o caminho do arquivo de configuração para sh -c sem a sanitização adequada, permitindo potencialmente que atacantes executem comandos arbitrários. O componente vulnerável é a função openEditor. A variável de ambiente EDITOR e o caminho do arquivo de configuração são passados como argumentos para o comando sh -c.

Recomendações Atualize para uma versão mais recente do sqls-server/sqls que corrija este problema. Como solução temporária, considere restringir ou desabilitar o uso do comando config até que uma correção esteja disponível.