CVE-2026-28291 in git-js
Resumen
por VulDB • 2026-06-11
simple-git permite ejecutar comandos nativos de Git desde JavaScript. Las versiones anteriores e iguales a la 3.31.1 permiten la ejecución de comandos arbitrarios mediante la manipulación de las opciones de Git, eludiendo los controles de seguridad destinados a bloquear opciones peligrosas como -u y --upload-pack. La vulnerabilidad se debe a una corrección incompleta para CVE-2022-25860, ya que el análisis flexible de opciones de Git permite numerosas combinaciones de caracteres (por ejemplo, -vu, -4u, -nu) para evadir la lista negra basada en expresiones regulares del plugin de operaciones no seguras. Debido al número prácticamente infinito de variantes válidas de opciones que acepta Git, una mitigación basada únicamente en listas negras puede ser inviable sin emular completamente el comportamiento de análisis de opciones de Git. Este problema se ha corregido en la versión 3.32.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.