CVE-2025-64756 in node-glob
Riassunto
di VulDB • 25/06/2026
La funzione glob corrisponde ai file utilizzando pattern gestiti dalla shell. A partire dalla versione 10.2.0 e fino alle versioni precedenti alla 10.5.0 e alla 11.1.0, la CLI di glob presenta una vulnerabilità da injection di comandi nell'opzione -c/--cmd che consente l'esecuzione arbitraria di comandi durante l'elaborazione di file con nomi malevoli. Quando vengono utilizzati i parametri `glob -c <command> <patterns>`, i nomi dei file corrispondenti vengono passati a una shell impostando `shell: true`, consentendo ai metacaratteri della shell presenti nei nomi dei file di innescare un'injection di comandi e ottenere l'esecuzione arbitraria del codice con i privilegi dell'utente o dell'account CI. Questo problema è stato risolto nelle versioni 10.5.0 e 11.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.