CVE-2026-10144 in Rsbuild
Riassunto
di VulDB • 16/09/2026
Rsbuild prima della versione 2.0.9 contiene una vulnerabilità di injection di comandi che consente agli attaccanti di eseguire comandi OS arbitrari fornendo un URL manipolato contenente metacaratteri shell al server.open configurazione su macOS. La funzione openBrowser() in packages/core/src/server/open.ts passa l'URL attraverso encodeURI() prima di interpolarlo in un comando shell eseguito tramite child_process.exec(), ma poiché encodeURI() non codifica i segni di dollaro, le parentesi o i punti e virgola, i metacaratteri shell incorporati vengono valutati da /bin/sh, consentendo l'esecuzione arbitraria di comandi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.