PT-2026-102812 · Npm · Simple-Git
CVSS v4.0
9.2
Crítica
| Vetor | AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
simple-git versões 3.15.0 até 4.0.0
Descrição
O
blockUnsafeOperationsPlugin padrão falha ao classificar trailer.<token>.cmd como uma configuração insegura. Isso permite que um invasor execute comandos de shell arbitrários com a identidade e permissões do sistema operacional do processo Node.js, caso a aplicação passe valores controlados por invasores através de SimpleGitOptions.config ou argumentos inline -c. A execução ocorre quando o git interpret-trailers processa o trailer configurado.Recomendações
Atualize o simple-git para a versão 4.0.1.
Correção
OS Command Injection
Incomplete List of Disallowed Inputs
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Simple-Git