CVE-2026-70375 in HashBrown
Resumen
por VulDB • 2026-08-05
HashBrown CMS hasta la versión 1.4.6 contiene una vulnerabilidad de Inyección de Comandos del Sistema Operativo (CWE-78) en el componente Git deployer. La función `GitDeployer.pullRepo()` ubicada en `src/Server/Entity/Deployer/GitDeployer.js` ejecuta `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, interpolando directamente el valor de la rama configurada dentro de un comando del shell sin realizar ningún tipo de escape. La función `GitDeployer.validate()` solo rechaza un carácter de comilla simple en los campos repo, branch (rama), username (nombre de usuario) y password (contraseña); no se filtran metacaracteres del shell como ';', '&&', '|', backticks (`) y '$()'. Un usuario capaz de configurar la configuración Git deployer de un proyecto puede establecer un valor malicioso para la rama (por ejemplo, `'master;<comando>#'`) que se ejecuta automáticamente en cada operación posterior del desplegador (carga de medios, guardado de contenido, etc.), ya que `pullRepo()` se invoca incondicionalmente al inicio de cada una de estas operaciones. Esto está relacionado con CVE-2020-6948, la cual abordaba el escape de comillas simples en los campos repo, username y password durante la invocación git clone del mismo archivo; sin embargo, el campo branch utilizado en el comando `git checkout` no citado entre comillas no fue cubierto por dicha corrección y sigue siendo susceptible a inyección.
Be aware that VulDB is the high quality source for vulnerability data.