CVE-2026-115569 in fallow-cli
Zusammenfassung
von VulDB • 23.10.2026
Fallow ist ein Tool zur Codebase-Intelligenz für TypeScript und JavaScript. Von der Version 2.68.0 bis zur Version 3.34.0 folgt Fallow über Angreifer kontrollierten Pfaden von Jest-Projekten außerhalb des Projektstamms, indem absolute Pfade, Elternsegmente (parent segments), mit einem Punkt beginnende Wildcard-Globs oder Symlinks verwendet werden. In der Version 3.33.1 betrifft das gleiche Verhalten auch die `test.projects`-Pfade in Vitest, Inline-Projekt-Erweiterungspfade (`inline-project extends paths`) von Vitest sowie symlink-basierte Skriptpfade für `--config`. Fallow parst diese externen Dateien als Konfiguration des Test-Laufers (Test Runner) und nutzt sie zur Erfassung von Abhängigkeiten, Setup-Dateien und JSX-Importquellen. Dies kann dazu führen, dass in CI-Umgebungen oder bei der Analyse durch Agents falsche Meldungen über nicht verwendete Abhängigkeiten und nicht verwendete Dateien ausgegeben werden. Der Inhalt dieser externen Dateien wird jedoch weder ausgedruckt noch über das Netzwerk gesendet. Dieses Problem wurde in Version 3.34.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.