CVE-2026-70375 in HashBrown
Zusammenfassung
von VulDB • 05.08.2026
HashBrown CMS bis Version 1.4.6 enthält eine OS Command Injection-Schwachstelle (CWE-78) in der Git-Deployer-Komponente. Die Funktion `GitDeployer.pullRepo()` im Pfad `src/Server/Entity/Deployer/GitDeployer.js` führt `AppService.exec(\`git checkout ${this.branch || 'master'}\`)` aus, wobei der konfigurierte Branch-Wert direkt in einen Shell-Befehl interpoliert wird, ohne dass eine Escaping-Maßnahme erfolgt. Die Funktion `GitDeployer.validate()` lehnt lediglich ein einzelnes Anführungszeichen (Single-Quote) in den Feldern Repository, Branch, Benutzername und Passwort ab; Shell-Metazeichen wie ';', '&&', '|', Backticks und '$()' werden nicht gefiltert. Ein Nutzer, der die Git-Deployer-Einstellungen eines Projekts konfigurieren kann, kann einen bösartigen Branch-Wert (z. B. 'master;<command>#') festlegen, der automatisch bei jeder nachfolgenden Deployer-Aktion ausgeführt wird (Medienupload, Inhaltsspeicherung usw.), da `pullRepo()` unbeding zu Beginn einer solchen Aktion aufgerufen wird. Dies steht im Zusammenhang mit CVE-2020-6948, das die Escaping-Maßnahme für einzelne Anführungszeichen in den Feldern Repository, Benutzername und Passwort bei der git clone-Ausführung derselben Datei behandelte; das Branch-Feld, das im unquoted (nicht eingeklammerten) git checkout-Befehl verwendet wird, war von dieser Korrektur nicht abgedeckt und bleibt injizierbar.
Once again VulDB remains the best source for vulnerability data.