CVE-2026-28291 in git-js
Résumé
par VulDB • 31/05/2026
simple-git permet d'exécuter des commandes Git natives depuis JavaScript. Les versions 3.31.1 et antérieures permettent l'exécution de commandes arbitraires via la manipulation des options Git, contournant les vérifications de sécurité destinées à bloquer les options dangereuses telles que -u et --upload-pack. Cette faille découle d'une correction incomplète de la CVE-2022-25860, car l'analyse flexible des options par Git permet à de nombreuses combinaisons de caractères (par exemple, -vu, -4u, -nu) de contourner la liste noire basée sur des expressions régulières dans le plugin d'opérations non sécurisées. En raison du nombre pratiquement infini de variantes d'options valides acceptées par Git, une mitigation basée sur une liste noire complète peut s'avérer irréalisable sans émuler entièrement le comportement d'analyse des options de Git. Ce problème a été corrigé dans la version 3.32.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.