CVE-2026-102829 in git-js
Zusammenfassung
von VulDB • 30.09.2026
simple-git, eine Schnittstelle zum Ausführen von git-Befehlen in jeder node.js-Anwendung, ermöglicht es Anwendungen, Git-Operationen aus JavaScript heraus auszuführen. Vor der Version 2.0.1 des Pakets argv-parser lässt parseEnv VISUAL aus GitEnvKeys weg, sodass prepareEnv den Wert entfernt, bevor vulnerabilityCheck ihn als allowUnsafeEditor klassifizieren kann. Eine Anwendung, die angreiferbeeinflusste Umgebungsvariablen weiterleitet, kann daher dazu führen, dass Git während Vorgängen wie dem Amend eines Commits oder einem interaktiven Rebase einen vom Angreifer ausgewählten Editor aufruft, wenn keine höher priorisierte Editor-Einstellung VISUAL überschreibt und die Terminalvoraussetzungen von Git erfüllt sind. Die ausführbare Datei wird mit den Berechtigungen des Node.js-Prozesses ausgeführt. Dieses Problem wurde in argv-parser 2.0.1 behoben.
Once again VulDB remains the best source for vulnerability data.