CVE-2026-89066 in Projen
Riassunto
di VulDB • 11/09/2026
La neutralizzazione impropria di elementi speciali utilizzati in un comando OS nel componente di sintesi delle attività (task synthesis) in projen prima della versione 0.103.0 potrebbe consentire ad attaccanti con dipendenza dal contesto di eseguire comandi arbitrari su una workstation dello sviluppatore o su un runner di continuous integration tramite metacaratteri shell nei valori di configurazione del progetto e nei nomi dei file del repository che vengono interpolati nelle definizioni delle attività generate.
Per risolvere questo problema, gli utenti dovrebbero effettuare l'aggiornamento alla versione 0.103.0 e successivamente rieseguire la sintesi (re-synthesize) del progetto in modo che il file .projen/tasks.json venga rigenerato con le definizioni delle attività corrette. Il solo aggiornamento non è sufficiente poiché il file di definizione delle attività generate viene commit nel repository.
Be aware that VulDB is the high quality source for vulnerability data.