CVE-2026-0933

Xülasə: `wrangler pages deploy` əmrində komanda inyeksiyası zəifliyi (CWE-78) aşkar edilmişdir. Problem `--commit-hash` parametrinin lazımi yoxlama və ya təmizləmə prosesindən keçmədən birbaşa shell əmrinə ötürülməsindən qaynaqlanır ki, bu da `--commit-hash` üzərində nəzarət edən hücumçuya Wrangler işlədən sistemdə ixtiyari əmrləri icra etməyə imkan verir. Kök səbəb: `--commit-hash` CLI arqumenti vasitəsilə istifadəçi girişindən əldə edilən `commitHash` dəyişəni şablon literalları (məsələn, `execSync(\`git show -s --format=%B ${commitHash}\`)`) istifadə edilərək birbaşa shell əmrinə daxil edilir. Shell meta simvolları shell tərəfindən şərh olunur və bu da əmrlərin icrasını mümkün edir. Təsir: Bu zəifliyin istismarı adətən çətindir, çünki `--commit-hash` parametrinin hücumçunun nəzarətində olması tələb olunur. Zəiflik əsasən `wrangler pages deploy` əmrinin avtomatlaşdırılmış boru kəmərlərində (pipelines) istifadə edildiyi və `--commit-hash` parametrinin xarici, potensial olaraq etibarsız mənbələrdən doldurulduğu CI/CD mühitlərinə təsir göstərir. Hücumçu bundan aşağıdakılar üçün istifadə edə bilər: * Hər hansı shell əmrini işə salmaq. * Mühit dəyişənlərini (environment variables) sızdırmaq. * Arxa qapılar (backdoors) quraşdırmaq və ya build artefaktlarını dəyişdirmək üçün CI runner-i kompromis etmək. Kreditlər: kny4hacker tərəfindən məsuliyyətli şəkildə bildirilmişdir. Yüngülləşdirmə: * Wrangler v4 istifadəçilərindən Wrangler v4.59.1 və ya daha yüksək versiyaya keçid etmələri xahiş olunur. * Wrangler v3 istifadəçilərindən Wrangler v3.114.17 və ya daha yüksək versiyaya keçid etmələri xahiş olunur. * Wrangler v2 (EOL) istifadəçiləri dəstəklənən əsas versiyaya keçid etməlidirlər.