CVE-2026-102828

Nome do Software Vulnerável e Versões Afetadas simple-git versões 3.15.0 até 4.0.0

Descrição O blockUnsafeOperationsPlugin padrão falha ao classificar trailer.<token>.cmd como uma configuração insegura. Isso permite que um invasor execute comandos de shell arbitrários com a identidade e permissões do sistema operacional do processo Node.js, caso a aplicação passe valores controlados por invasores através de SimpleGitOptions.config ou argumentos inline -c. A execução ocorre quando o git interpret-trailers processa o trailer configurado.

Recomendações Atualize o simple-git para a versão 4.0.1.