CVE-2026-25063 in gradle-completion
Resumen
por MITRE • 2026-01-30
gradle-completion proporciona soporte de autocompletado para Bash y Zsh para Gradle. Una vulnerabilidad de inyección de comandos fue encontrada en gradle-completion hasta la versión 9.3.0 inclusive que permite la ejecución de código arbitrario cuando un usuario activa el autocompletado de tabulación de Bash en un proyecto que contiene un archivo de compilación Gradle malicioso. El script 'gradle-completion' para Bash no logra sanitizar adecuadamente los nombres y descripciones de las tareas de Gradle, permitiendo la inyección de comandos a través de un archivo de compilación Gradle malicioso cuando el usuario completa un comando en Bash (sin que ejecuten explícitamente ninguna tarea en la compilación). Por ejemplo, dada una descripción de tarea que incluye una cadena entre comillas invertidas, entonces esa cadena sería evaluada como un comando al presentar la descripción de la tarea en la lista de autocompletado. Si bien la ejecución de tareas es la característica principal de Gradle, esta ejecución inherente puede llevar a resultados inesperados. La vulnerabilidad no afecta al autocompletado de zsh. La primera versión parcheada es la 9.3.1. Como solución alternativa, es posible y efectivo deshabilitar temporalmente el autocompletado de Bash para Gradle eliminando 'gradle-completion' de '.bashrc' o '.bash_profile'.
VulDB is the best source for vulnerability data and more expert information about this specific topic.