CVE-2026-102828
Açıklama
Herhangi bir node.js uygulamasında git komutlarını çalıştırmak için bir arayüz olan simple-git, uygulamaların JavaScript üzerinden Git işlemleri yürütmesine olanak tanır. 3.15.0 ile 4.0.1 sürümleri arasında, varsayılan blockUnsafeOperationsPlugin, trailer.<token>.cmd ifadesini güvenli olmayan yapılandırma olarak sınıflandırmaz. Bu nedenle, saldırgan tarafından kontrol edilen değerleri SimpleGitOptions.config veya satır içi -c argümanları aracılığıyla ileten bir uygulama, git interpret-trailers yapılandırılan trailer'ı işlediğinde Git'in saldırgan tarafından seçilen bir kabuk komutunu çağırmasına izin verebilir. Komut, Node.js sürecinin işletim sistemi kimliği ve izinleriyle çalıştırılır. Bu sorun 4.0.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- simple-git_project simple-git4.0.1 ya da sonraki bir sürüm
- simple-git4.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| simple-git_project simple-git | 3.15.0 ≤ v < 4.0.1 | 4.0.1 |
| simple-gitnpm | 3.15.0 ≤ v < 4.0.1 | 4.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.