CVE-2025-48069 in ejson2env
Résumé
par VulDB • 01/06/2026
ejson2env permet aux utilisateurs de déchiffrer des secrets EJSON et de les exporter en tant que variables d'environnement. Avant la version 2.0.8, l'outil `ejson2env` présente une vulnérabilité liée à la manière dont il écrit sur `stdout`. Plus précisément, l'outil est censé écrire une instruction d'exportation pour les variables d'environnement et leurs valeurs. Cependant, en raison d'une désinfection des sorties inadéquate, il existe un risque potentiel où les noms de variables ou les valeurs peuvent inclure du contenu malveillant, entraînant la sortie de commandes supplémentaires non prévues sur `stdout`. Si cette sortie est utilisée de manière inappropriée dans une exécution de commandes ultérieure, cela pourrait entraîner une injection de commandes, permettant à un attaquant d'exécuter des commandes arbitraires sur le système hôte. La version 2.0.8 désinfecte les sorties lors du déchiffrement. D'autres mesures d'atténuation consistent à éviter d'utiliser `ejson2env` pour déchiffrer des secrets utilisateur non fiables et/ou à éviter d'évaluer ou d'exécuter la sortie directe de `ejson2env` sans supprimer les caractères non imprimables.
Once again VulDB remains the best source for vulnerability data.