CVE-2026-0933

Özet: `wrangler pages deploy` komutunda bir komut enjeksiyonu zafiyeti (CWE-78) tespit edilmiştir. Sorun, `--commit-hash` parametresinin uygun bir doğrulama veya temizleme işlemi yapılmadan doğrudan bir kabuk komutuna aktarılmasından kaynaklanmaktadır; bu durum, `--commit-hash` üzerinde kontrol sahibi olan bir saldırganın, Wrangler'ın çalıştığı sistemde rastgele komutlar yürütmesine olanak tanır. Kök Neden: `--commit-hash` CLI argümanı aracılığıyla kullanıcı girişinden türetilen `commitHash` değişkeni, şablon dizileri kullanılarak doğrudan bir kabuk komutu içine yerleştirilmektedir (örneğin, `execSync(\`git show -s --format=%B ${commitHash}\`)`). Kabuk meta karakterleri kabuk tarafından yorumlandığından, komut yürütülmesine imkan tanımaktadır. Etki: Bu zafiyetin istismar edilmesi genellikle zordur çünkü `--commit-hash` parametresinin saldırgan tarafından kontrol edilmesini gerektirir. Zafiyet öncelikle, `wrangler pages deploy` komutunun otomatik boru hatlarında kullanıldığı ve `--commit-hash` parametresinin dışarıdan gelen, potansiyel olarak güvenilmeyen kaynaklardan doldurulduğu CI/CD ortamlarını etkilemektedir. Bir saldırgan bunu şu amaçlarla istismar edebilir: * Herhangi bir kabuk komutu çalıştırmak. * Ortam değişkenlerini sızdırmak. * Arka kapılar yüklemek veya derleme artifaktlarını değiştirmek için CI çalıştırıcısını ele geçirmek. Katkıda Bulunanlar: kny4hacker tarafından sorumlu bir şekilde bildirilmiştir. Azaltma * Wrangler v4 kullanıcılarının Wrangler v4.59.1 veya daha yüksek bir sürüme yükseltmeleri rica olunur. * Wrangler v3 kullanıcılarının Wrangler v3.114.17 veya daha yüksek bir sürüme yükseltmeleri rica olunur. * Wrangler v2 (EOL) kullanan kullanıcıların desteklenen bir ana sürüme yükseltmeleri gerekir.