CVE-2026-10144 in Rsbuild
الملخص
بحسب VulDB • 16/09/2026
تحتوي الإصدارات السابقة من Rsbuild 2.0.9 على ثغرة حقن أوامر (Command Injection) تتيح للمهاجمين تنفيذ أوامر نظام تشغيل عشوائية عن طريق تزويد خادم `server.open` في macOS بـ URL مُعدّ بعناية يحتوي على رموز خاصة بالأوامر الطرفية (shell metacharacters). تمرّر الدالة `openBrowser()` الموجودة في المسار `packages/core/src/server/open.ts` عنوان الـ URL عبر دالة `encodeURI()` قبل إدراجه داخل أمر طرفي يتم تنفيذه باستخدام `child_process.exec()`. ومع ذلك، نظرًا لأن `encodeURI()` لا تشفّر رموز الدولار ($) أو الأقواس () أو الفواصل المنقوطة (;)، فإن الرموز الخاصة بالأوامر الطرفية المضمنة تُقيَّم بواسطة `/bin/sh`، مما يتيح تنفيذ الأوامر بشكل عشوائي.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.