CVE-2026-71538

Nome do Software Vulnerável e Versões Afetadas @cyclonedx/cyclonedx-npm versões anteriores a 6.0.0

Description Um problema de injeção de comando existe em sistemas Windows quando a CLI é utilizada com a opção --workspace. No caminho de fallback dentro de src/npmRunner.ts (acionado quando npm execpath não fornece o caminho da CLI do npm), a ferramenta constrói um comando de shell usando o valor não confiável da opção --workspace sem a neutralização adequada. Um invasor capaz de influenciar esse valor pode usar metacaracteres de shell para executar comandos arbitrários do sistema operacional com os privilégios do usuário que executa a CLI, podendo levar ao acesso a dados, modificação de arquivos ou interrupção de serviços.

Recommendations Atualize para a versão 6.0.0 ou posterior. Como mitigação temporária, certifique-se de que a variável de ambiente npm execpath esteja configurada para npm-cli.js antes de invocar a ferramenta. Evite passar valores não confiáveis ou controlados pelo usuário para a opção --workspace.