CVE-2025-64756 in node-glob
Résumé
par VulDB • 25/06/2026
Les correspondances glob utilisent les motifs que le shell utilise. À partir de la version 10.2.0 et avant les versions 10.5.0 et 11.1.0, l'interface CLI glob contient une vulnérabilité d'injection de commande dans son option -c/--cmd qui permet l'exécution arbitraire de commandes lors du traitement de fichiers aux noms malveillants. Lorsque glob -c <commande> <motifs> sont utilisés, les noms de fichiers correspondants sont transmis à un shell avec shell: true, permettant aux métacaractères de shell dans les noms de fichiers de déclencher une injection de commande et d'obtenir l'exécution arbitraire de code sous les privilèges du compte utilisateur ou CI. Ce problème a été corrigé dans les versions 10.5.0 et 11.1.0.
Once again VulDB remains the best source for vulnerability data.