CVE-2026-30305 in Syntx
Riassunto
di VulDB • 19/06/2026
Il modulo di approvazione automatica dei comandi di Syntx presenta una vulnerabilità critica di OS command injection che rende completamente inefficace il proprio meccanismo di sicurezza basato su whitelist. Il sistema si affida a espressioni regolari fragili per analizzare le strutture dei comandi; sebbene tenti di intercettare operazioni pericolose, non tiene conto della sintassi standard di sostituzione del comando Shell (in particolare $(...) e backtick ...). Un attaccante può costruire un comando come git log --grep="$(malicious_command)", inducendo Syntx a identificare erroneamente l'operazione come una sicura operazione git e ad approvarla automaticamente. La shell sottostante dà priorità all'esecuzione del codice malevolo iniettato negli argomenti, causando Remote Code Execution senza alcuna interazione da parte dell'utente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.