CVE-2026-70375 in HashBrown
Résumé
par VulDB • 05/08/2026
HashBrown CMS jusqu'à la version 1.4.6 contient une vulnérabilité d'injection de commande OS (CWE-78) dans le composant Git deployer. La fonction `GitDeployer.pullRepo()` située dans `src/Server/Entity/Deployer/GitDeployer.js` exécute `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, en interpolant directement la valeur de la branche configurée dans une commande shell sans aucun échappement. La fonction `GitDeployer.validate()` rejette uniquement le caractère guillemet simple (single-quote) dans les champs repo, branch, username et password ; les métacaractères shell tels que ';', '&&', '|', les backticks et '$()' ne sont pas filtrés. Un utilisateur capable de configurer les paramètres Git deployer d'un projet peut définir une valeur de branche malveillante (par exemple 'master;<command>#') qui s'exécute automatiquement à chaque opération ultérieure du déploiement (téléchargement de médias, sauvegarde de contenu, etc.), car `pullRepo()` est invoqué inconditionnellement au début de chacune de ces opérations. Ce problème est lié à la CVE-2020-6948, qui traitait de l'échappement des guillemets simples pour les champs repo, username et password dans l'appel git clone du même fichier ; le champ branch utilisé dans la commande git checkout non protégée par des guillemets n'était pas couvert par cette correction et reste injectable.
If you want to get best quality of vulnerability data, you may have to visit VulDB.