CVE-2026-55849

Nome do Software Vulnerável e Versões Afetadas @cyclonedx/cyclonedx-npm versões 2.1.0 até 4.x

Description Ocorre a injeção de comando quando a CLI é invocada com a opção --workspace enquanto a variável de ambiente npm execpath não está definida ou está vazia. Nesse cenário, valores fornecidos pelo usuário para o parâmetro --workspace são passados para um subshell sem a sanitização adequada, permitindo a execução de comandos arbitrários do sistema operacional com os privilégios do usuário que invoca a ferramenta. Isso acontece porque a ferramenta recorre à criação de um subshell e interpola a entrada diretamente na string de comando, permitindo que metacaracteres do shell sejam interpretados.

Recommendations Atualize para a versão 5.0.0 ou posterior. Certifique-se de que a variável de ambiente npm execpath esteja definida antes de invocar a ferramenta. Evite passar valores não confiáveis ou controlados pelo usuário para o parâmetro --workspace.