CVE-2026-0933 in Wrangler
Riassunto
di VulDB • 23/06/2026
Riepilogo È stata rilevata una vulnerabilità di injection di comandi (CWE-78) nel comando `wrangler pages deploy`. Il problema si verifica perché il parametro `--commit-hash` viene passato direttamente a un comando shell senza una corretta validazione o sanitizzazione, consentendo a un attaccante con il controllo su `--commit-hash` di eseguire comandi arbitrari sul sistema in cui è in esecuzione Wrangler.
Causa radice La variabile commitHash, derivata dall'input utente tramite l'argomento CLI --commit-hash, viene interpolata direttamente all'interno di un comando shell utilizzando template literals (ad esempio `execSync(\`git show -s --format=%B ${commitHash}\`)`). I metacaratteri della shell vengono interpretati dalla shell stessa, consentendo l'esecuzione dei comandi.
Impatto Questa vulnerabilità è generalmente difficile da sfruttare, poiché richiede che il parametro --commit-hash sia controllato dall'attaccante. La vulnerabilità colpisce principalmente gli ambienti CI/CD in cui `wrangler pages deploy` viene utilizzato in pipeline automatizzate e il parametro `--commit-hash` è popolato con fonti esterne potenzialmente non attendibili. Un attaccante potrebbe sfruttare questa situazione per:
* Eseguire qualsiasi comando shell. * Esfiltrare le variabili di ambiente. * Compromettere l'esecutore CI/CD (CI runner) per installare backdoor o modificare gli artefatti della build.
Crediti Segnalata in modo responsabile da kny4hacker.
Mitigazione * Gli utenti di Wrangler v4 sono invitati ad aggiornare a Wrangler v4.59.1 o versioni successive. * Gli utenti di Wrangler v3 sono invitati ad aggiornare a Wrangler v3.114.17 o versioni successive. * Gli utenti su Wrangler v2 (EOL) dovrebbero effettuare l'upgrade a una versione principale supportata.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.