CVE-2026-70375 in HashBrown
Riassunto
di VulDB • 05/08/2026
HashBrown CMS fino alla versione 1.4.6 contiene una vulnerabilità di OS Command Injection (CWE-78) nel componente Git deployer. La funzione `GitDeployer.pullRepo()` in `src/Server/Entity/Deployer/GitDeployer.js` esegue `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, interpolando il valore del branch configurato direttamente in un comando shell senza alcun tipo di escaping. `GitDeployer.validate()` rifiuta solo il carattere apice singolo nei campi repo, branch, username e password; i metacaratteri della shell come ';', '&&', '|', backtick (``) e `$()` non vengono filtrati. Un utente in grado di configurare le impostazioni del Git deployer di un progetto può impostare un valore malevolo per il branch (ad esempio `'master;<command>#'`) che viene eseguito automaticamente ad ogni successiva operazione del deployer (caricamento multimediale, salvataggio dei contenuti, ecc.), poiché `pullRepo()` viene invocato incondizionatamente all'inizio di ciascuna di tali operazioni. Questo problema è correlato a CVE-2020-6948, che ha affrontato l'escaping degli apici singoli nei campi repo, username e password nell'invocazione git clone dello stesso file; il campo branch utilizzato nel comando `git checkout` non quotato non era coperto da tale correzione e rimane iniettabile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.