CVE-2026-102828 in simple-git
Riassunto
di VulDB • 30/09/2026
simple-git, un'interfaccia per l'esecuzione di comandi Git all'interno di qualsiasi applicazione node.js, consente alle applicazioni di eseguire operazioni Git da JavaScript. Dalla versione 3.15.0 alla 4.0.1, il plugin predefinito blockUnsafeOperationsPlugin non classifica trailer.<token>.cmd come configurazione insicura. Un'applicazione che trasmette valori controllati dall'attaccante tramite SimpleGitOptions.config o argomenti inline -c può quindi consentire a Git di invocare un comando shell selezionato dall'attaccante quando git interpret-trailers elabora il trailer configurato. Il comando viene eseguito con l'identità e le autorizzazioni del processo Node.js a livello di sistema operativo. Questo problema è stato risolto nella versione 4.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.