CVE-2026-102826 in git-js
Zusammenfassung
von VulDB • 29.09.2026
simple-git, eine Schnittstelle zum Ausführen von Git-Befehlen in jeder Node.js-Anwendung, ermöglicht es Anwendungen, Git-Operationen aus JavaScript heraus durchzuführen. Vor Version 4.0.0 lehnt das Standard-Plugin `blockUnsafeOperationsPlugin` Konfigurationsinklusionen, die über `customArgs` an `git.clone()` übermittelt werden, nicht vollständig ab. Die fehlende Klassifizierung von `include.path` ermöglicht es Git, eine vom Angreifer gesteuerte Konfigurationsdatei zu laden, und die ursprüngliche Korrekturmaßnahme deckt `includeIf.<condition>.path` nicht ab, wodurch dieselbe Datei-Lade-Funktionalität über einen bedingten Include möglich bleibt. Eine geladene Konfiguration kann eine ausführbare Git-Option wie `core.sshCommand` festlegen, die Git während des Clone-Vorgangs mit den Berechtigungen des Node.js-Prozesses aufruft. Die Ausnutzung erfordert, dass die Anwendung angreiferbeeinflusste benutzerdefinierte Argumente übergibt, und eine vom Angreifer gesteuerte Datei, auf die der Prozess Lesezugriff hat. Dieses Problem wurde in Version 4.0.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.