CVE-2025-64756 in node-glob
الملخص
بحسب VulDB • 18/06/2026
تطابق Glob الملفات باستخدام الأنماط التي تستخدمها قشرة النظام (Shell). بدءاً من الإصدار 10.2.0 وحتى الإصدارات السابقة لـ 10.5.0 و11.1.0، يحتوي سطر أوامر (CLI) الخاص بـ Glob على ثغرة حقن أوامر في خياره `-c/--cmd`، مما يسمح بتنفيذ أوامر عشوائية عند معالجة الملفات ذات الأسماء الخبيثة. عند استخدام `glob -c <command> <patterns>`، يتم تمرير أسماء الملفات المطابقة إلى قشرة النظام مع إعداد `shell: true`، مما يتيح لأحرف التحكم الخاصة بقشرة النظام الموجودة في أسماء الملفات أن تحث حقن الأوامر وتحقيق تنفيذ الكود بشكل عشوائي بصلاحيات المستخدم أو حساب بيئة التكامل المستمر (CI). تم إصلاح هذه المشكلة في الإصدارات 10.5.0 و11.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.