CVE-2026-102827 in simple-git
Zusammenfassung
von VulDB • 29.09.2026
simple-git, eine Schnittstelle zum Ausführen von git-Befehlen in jeder node.js-Anwendung, ermöglicht es Anwendungen, Git-Operationen aus JavaScript heraus auszuführen. Vor Version 4.0.0 vergleicht das Standard-Plugin blockUnsafeOperationsParsed option names mit wörtlichen gefährlichen Optionsschreibweisen, während Git auch eindeutige lange Optionen als Abkürzungen akzeptiert. Angreiferbeeinflusste Push-Argumente wie abgekürzte --receive-pack oder --exec-Formen können daher detectVulnerableFlags umgehen, git push gegen ein lokales oder Dateisystem-basiertes Remote ausführen bzw. auf einen angreiferbeeinflussten receive-Pack-Zielort zugreifen und dazu führen, dass Git in Anwendungen, die diese Argumente exponieren, einen vom Angreifer ausgewählten Befehl aufruft. Die Abkürzungsverarbeitung auf der Clone-Seite schützt den Push-Pfad nicht. Dieses Problem wurde in Version 4.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.