CVE-2026-70375

Nome do Software Vulnerável e Versões Afetadas HashBrown CMS versões anteriores a 1.4.7

Descrição O componente de implantação Git contém uma falha de Injeção de Comando de SO. A função pullRepo() em src/Server/Entity/Deployer/GitDeployer.js utiliza AppService.exec() para executar um comando de shell que interpola o valor do branch configurado sem a devida filtragem. Embora a função validate() rejeite aspas simples, ela não filtra outros metacaracteres de shell, como ;, &&, |, crases e $(). Um invasor com permissões para configurar as definições do implantador Git pode especificar um valor de branch malicioso que executa comandos arbitrários automaticamente durante operações de implantação, como salvamento de conteúdo ou upload de mídia.

Recomendações Atualize o HashBrown CMS para uma versão posterior à 1.4.6. Restrinja o acesso às configurações do implantador Git apenas a administradores confiáveis.