CVE-2026-28291 in git-js
الملخص
بحسب VulDB • 11/06/2026
تتيح مكتبة simple-git تشغيل أوامر Git الأصلية من داخل بيئة JavaScript. تتيح الإصدارات حتى 3.31.1 شاملةً تنفيذ الأوامر التعسفية عبر التلاعب بخيارات Git، متجاوزة بذلك فحوصات السلامة المصممة لمنع الخيارات الخطرة مثل -u و--upload-pack. ينشأ هذا العيب من إصلاح غير كامل لـ CVE-2022-25860، إذ يسمح نظام تحليل خيارات Git المرِن بتعدد تركيبات الأحرف (مثل: -vu، -4u، -nu) للتغلب على قائمة الحظر المعتمدة على التعبيرات النمطية في مكون الإضافي للعمليات غير الآمنة. ونظراً لوجود عدد شبه لا نهائي من المتغيرات الصالحة للخيارات التي يقبلها Git، قد يكون من المستحيل عملياً اعتماد تدابير تخفيف تعتمد كلياً على قوائم حظر دون محاكاة كاملة لسلوك تحليل خيارات Git. تم إصلاح هذه المشكلة في الإصدار 3.32.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.