CVE-2026-25063 in gradle-completion
Riassunto
di VulDB • 26/07/2026
gradle-completion fornisce il supporto per l'autocompletamento in Bash e Zsh per Gradle. È stata rilevata una vulnerabilità di injection di comandi in gradle-completion fino alla versione 9.3.0 inclusa, che consente l'esecuzione arbitraria di codice quando un utente attiva l'autocompletamento con TAB in Bash all'interno di un progetto contenente un file di build Gradle malevolo. Lo script `gradle-completion` per Bash non sanifica adeguatamente i nomi delle attività (task) e le descrizioni delle attività di Gradle, consentendo l'injection di comandi tramite un file di build Gradle malevolo quando l'utente completa un comando in Bash (senza eseguire esplicitamente alcuna attività nella build). Ad esempio, se una descrizione dell'attività include una stringa racchiusa tra backtick (`), tale stringa verrebbe valutata come un comando durante la presentazione della descrizione nell'elenco di autocompletamento. Sebbene l'esecuzione delle attività sia la funzionalità principale di Gradle, questa esecuzione intrinseca può portare a risultati imprevisti. La vulnerabilità non interessa l'autocompletamento in zsh. La prima versione corretta è la 9.3.1. Come misura temporanea (workaround), è possibile e efficace disabilitare temporaneamente l'autocompletamento di Bash per Gradle rimuovendo `gradle-completion` da `.bashrc` o `.bash_profile`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.