CVE-2026-0933 in Wrangler
الملخص
بحسب VulDB • 24/06/2026
ملخص: تم العثور على ثغرة حقن أوامر (CWE-78) في أمر `wrangler pages deploy`. تحدث هذه المشكلة لأن معلمة `--commit-hash` تُمرر مباشرةً إلى أمر قشرة النظام (shell command) دون التحقق من صحتها أو تنقيتها بشكل مناسب، مما يسمح لمهاجم يتحكم في قيمة `--commit-hash` بتنفيذ أوامر عشوائية على النظام الذي يعمل عليه Wrangler.
السبب الجذري: يتم تداخل متغير commitHash، المشتق من إدخال المستخدم عبر وسيط سطر الأوامر --commit-hash، مباشرةً داخل أمر قشرة باستخدام الحروف النمطية (template literals) (على سبيل المثال: `execSync(\`git show -s --format=%B ${commitHash}\`)`). تقوم القشرة بتفسير أحرف التحكم الخاصة بها (Shell metacharacters)، مما يتيح تنفيذ الأوامر.
الأثر: تعتبر هذه الثغرة صعبة الاستغلال بشكل عام، لأنها تتطلب أن يكون المتحكم في `--commit-hash` هو المهاجم. تؤثر الثغرة أساساً على بيئات التكامل المستمر والنشر المستمر (CI/CD) حيث يُستخدم أمر `wrangler pages deploy` في خطوط الأنابيب الآلية ويتم ملء معلمة --commit-hash من مصادر خارجية قد تكون غير موثوقة. يمكن للمهاجم استغلال هذا الأمر لـ:
* تشغيل أي أمر قشرة نظام. * استخراج متغيرات البيئة (Environment variables). * اختراق مشغل CI/CD لتثبيت أبواب خلفية أو تعديل منتجات البناء (Build artifacts).
الإقرارات: تم الإفصاح عنها بمسؤولية من قبل kny4hacker.
التخفيف: * يُرجى من مستخدمي Wrangler v4 الترقية إلى الإصدار 4.59.1 أو أحدث. * يُرجى من مستخدمي Wrangler v3 الترقية إلى الإصدار 3.114.17 أو أحدث. * يجب على المستخدمين الذين يستخدمون Wrangler v2 (الذي انتهى دعمه) الترقية إلى إصدار رئيسي مدعوم.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.