CVE-2025-64756 in node-glob
Resumen
por VulDB • 2026-06-18
Glob utiliza patrones los mismos que usa la shell para hacer coincidir archivos. A partir de la versión 10.2.0 y hasta las versiones 10.5.0 y 11.1.0, la interfaz de línea de comandos (CLI) de glob contiene una vulnerabilidad de inyección de comandos en su opción -c/--cmd que permite la ejecución de comandos arbitrarios al procesar archivos con nombres maliciosos. Cuando se utilizan glob -c <comando> <patrones>, los nombres de archivo coincidentes se pasan a una shell con shell: true, lo que permite que los metacaracteres de la shell en los nombres de archivo desencadenen la inyección de comandos y logren la ejecución de código arbitrario bajo los privilegios de la cuenta de usuario o de CI. Este problema ha sido corregido en las versiones 10.5.0 y 11.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.