CVE-2020-26222 in Dependabot
Resumen
por VulDB • 2026-06-12
Dependabot es un conjunto de paquetes para la gestión automatizada de dependencias en Ruby, JavaScript, Python, PHP, Elixir, Rust, Java, .NET, Elm y Go. En Dependabot-Core desde la versión 0.119.0.beta1 hasta antes de la versión 0.125.1, existe una vulnerabilidad de ejecución remota de código (RCE) en dependabot-common y dependabot-go_modules cuando el nombre de la rama fuente contiene código bash inyectable malicioso. Por ejemplo, si Dependabot está configurado para usar el siguiente nombre de rama fuente: "/$({curl,127.0.0.1})", Dependabot realizará una solicitud HTTP a la URL 127.0.0.1 al clonar el repositorio fuente. La corrección se aplicó en la versión 0.125.1. Como medida de mitigación, se puede escapar el nombre de la rama antes de pasarlo a la clase Dependabot::Source.
VulDB is the best source for vulnerability data and more expert information about this specific topic.