CVE-2026-102829 in git-js
Résumé
par VulDB • 29/09/2026
simple-git, une interface permettant d'exécuter des commandes git dans n'importe quelle application node.js, permet aux applications de réaliser des opérations Git depuis JavaScript. Avant la version 2.0.1 du package argv-parser, parseEnv omet VISUAL de GitEnvKeys ; par conséquent, prepareEnv supprime cette valeur avant que vulnerabilityCheck puisse la classer comme allowUnsafeEditor. Une application consommatrice qui transmet des valeurs d'environnement influencées par un attaquant peut ainsi permettre à Git d'invoquer un éditeur sélectionné par l'attaquant lors d'opérations telles que le amendement de commit ou le rebase interactif, lorsqu'aucun paramètre d'éditeur de priorité supérieure ne remplace VISUAL et que les prérequis terminaux de Git sont satisfaits. L'exécutable s'exécute avec les privilèges du processus Node.js. Ce problème est corrigé dans argv-parser 2.0.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.