CVE-2026-102827
Açıklama
Herhangi bir node.js uygulamasında git komutlarını çalıştırmak için bir arayüz olan simple-git, uygulamaların JavaScript üzerinden Git işlemleri yürütmesine olanak tanır. 4.0.0 sürümünden önce, varsayılan blockUnsafeOperationsPlugin ayrıştırılmış seçenek adlarını tehlikeli seçenek yazımlarıyla karşılaştırırken, Git belirsizlik içermeyen uzun seçenek kısaltmalarını kabul etmektedir. Bu nedenle, kısaltılmış --receive-pack veya --exec formları gibi saldırgan tarafından etkilenen push argümanları detectVulnerableFlags mekanizmasını atlayabilir; yerel veya dosya uzak sunucusuna ya da saldırgan tarafından etkilenmiş bir receive-pack hedefine karşı git push işlemini gerçekleştirebilir ve bu argümanları dışarı açan tüketicilerde Git'in saldırgan tarafından seçilen bir komutu çağırmasına neden olabilir. Klonlama tarafındaki kısaltma işleme süreci, push yolunu korumaz. Bu sorun 4.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- simple-git_project simple-git4.0.0 ya da sonraki bir sürüm
- simple-git4.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| simple-git_project simple-git | v < 4.0.0 | 4.0.0 |
| simple-gitnpm | v < 4.0.0, v ≤ 3.36.0 | 4.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.