CVE-2025-64756
Açıklama
Glob, dosyaları kabuğun kullandığı desenlerle eşleştirir. Versiyon 10.2.0'dan başlayarak 10.5.0 ve 11.1.0 versiyonlarından öncesine kadar olan sürümlerde, glob CLI'nın -c/--cmd seçeneği, kötü niyetli isimlere sahip dosyalar işlenirken rastgele komut çalıştırılmasına izin veren bir komut enjeksiyonu zafiyeti içermektedir. glob -c <command> <patterns> kullanıldığında, eşleşen dosya adları shell: true ile bir kabuğa aktarılır; bu durum, dosya adlarındaki kabuk meta karakterlerinin komut enjeksiyonunu tetiklemesine ve kullanıcı veya CI hesabı ayrıcalıkları altında rastgele kod çalıştırılmasına olanak tanır. Bu sorun 10.5.0 ve 11.1.0 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- isaacs glob10.5.0, 11.1.0 ya da sonraki bir sürüm
- glob11.1.0, 10.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| isaacs glob | 10.2.0 ≤ v < 10.5.0, 11.0.0 ≤ v < 11.1.0 | 10.5.0, 11.1.0 |
| globnpm | 11.0.0 ≤ v < 11.1.0, 10.2.0 ≤ v < 10.5.0 | 11.1.0, 10.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.