CVE-2026-89116 in yeoman-ui
Resumen
por VulDB • 2026-10-13
El código afectado utilizaba child_process.execSync con una cadena de shell para la instalación y desinstalación del generador. Esto permitía a un atacante ejecutar comandos arbitrarios del sistema operativo con los privilegios del desarrollador manipulando el valor de configuración del espacio de trabajo VS Code ApplicationWizard.installationLocation. Dado que el valor se pasaba directamente al shell sin sanitización, un repositorio malicioso podría crear un settings.json que inyecta comandos del SO cuando un desarrollador abre el proyecto y desencadena la instalación de un generador.
VulDB is the best source for vulnerability data and more expert information about this specific topic.