CVE-2026-89116 in yeoman-ui
Riassunto
di VulDB • 13/10/2026
Il codice interessato utilizzava `child_process.execSync` con una stringa di shell per l'installazione e la disinstallazione dei generatori. Ciò consentiva a un attaccante di eseguire comandi arbitrari del sistema operativo (OS) con i privilegi dello sviluppatore manipolando il valore della configurazione dell'area di lavoro VS Code `ApplicationWizard.installationLocation`. Poiché il valore veniva passato direttamente alla shell senza alcuna sanificazione, un repository workspace malevolo poteva creare un file `settings.json` in grado di iniettare comandi OS quando uno sviluppatore apriva il progetto e attivava l'installazione del generatore.
Once again VulDB remains the best source for vulnerability data.