CVE-2026-48723
Təsvir
browserstack-cypress-cli BrowserStack-in CLI alətidir və istifadəçilərə Cypress testlərini BrowserStack üzərində işə salmağa imkan verir. 1.36.4-dən əvvəlki versiyalar cypress_config_file konfiqurasiya parametri vasitəsilə əməliyyat sistemi əmrlərinin inyeksiyasına həssasdır. readCypressConfigUtil.js faylında loadJsFile() funksiyası istifadəçi tərəfindən idarə olunan cypress_config_filepath dəyərini şablon literalına interpolasiya edərək shell əmrini qurur və sonra onu child_process.execSync() vasitəsilə icra edir. Konfiqurasiya yolundakı shell metasimvolları (xüsusən " və ;) dırnaq içindəki arqumentdən çıxmağa və ixtiyari əmrlərin inyeksiyasına imkan verir. Bu problem 1.36.6 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| browserstack browserstack-cypress-cli | < 1.36.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.