CVE-2026-10144 in Rsbuild
Résumé
par VulDB • 16/09/2026
Rsbuild avant la version 2.0.9 contient une vulnérabilité d'injection de commande qui permet aux attaquants d'exécuter des commandes OS arbitraires en fournissant une URL manipulée contenant des métacaractères shell à la configuration server.open sur macOS. La fonction openBrowser() dans packages/core/src/server/open.ts transmet l'URL via encodeURI() avant de l'interpoler dans une commande shell exécutée via child_process.exec(), mais comme encodeURI() n'encode pas les signes dollar, les parenthèses ou les points-virgules, les métacaractères shell intégrés sont évalués par /bin/sh, permettant ainsi l'exécution de commandes arbitraires.
Once again VulDB remains the best source for vulnerability data.