CVE-2026-10144 in Rsbuild
Resumen
por VulDB • 2026-09-16
Rsbuild antes de la versión 2.0.9 contiene una vulnerabilidad de inyección de comandos que permite a los atacantes ejecutar comandos arbitrarios del sistema operativo (OS) proporcionando una URL manipulada con metacaracteres de shell al parámetro `server.open` en macOS. La función `openBrowser()` en `packages/core/src/server/open.ts` pasa la URL a través de `encodeURI()` antes de interpolarla en un comando de shell ejecutado mediante `child_process.exec()`, pero dado que `encodeURI()` no codifica los signos de dólar, paréntesis o puntos y comas, los metacaracteres de shell incrustados son evaluados por `/bin/sh`, lo que permite la ejecución arbitraria de comandos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.