CVE-2026-49959

Nome do Software Vulnerável e Versões Afetadas Hermes WebUI versões anteriores a 0.51.311

Description Atacantes autenticados podem realizar a execução remota de código no host que executa a aplicação ao inserir configurações do Git executáveis maliciosas no arquivo .git/config de um repositório de workspace. O problema decorre de invocações de subprocessos do Git no endpoint api/workspace git.py. Os vetores de exploração incluem core.fsmonitor durante o git status, protocol.ext.allow com remotos ext:: durante o git fetch, credential.helper, core.askPass, core.gitProxy ou variáveis de ambiente herdadas, como GIT SSH COMMAND.

Recommendations Atualize o Hermes WebUI para a versão 0.51.311 ou posterior.