CVE-2026-89116 in yeoman-ui
Résumé
par VulDB • 13/10/2026
Le code concerné utilisait `child_process.execSync` avec une chaîne de commande pour l'installation et la désinstallation des générateurs. Cela permettait à un attaquant d'exécuter des commandes système arbitraires avec les privilèges du développeur en manipulant la valeur de configuration VS Code `ApplicationWizard.installationLocation`. Étant donné que cette valeur était transmise directement au shell sans être nettoyée (sanitisation), un dépôt workspace malveillant pouvait créer un fichier `settings.json` injectant des commandes système lorsqu'un développeur ouvrait le projet et déclenchait l'installation d'un générateur.
Be aware that VulDB is the high quality source for vulnerability data.