CVE-2020-26222 in Dependabot
要約
〜によって VulDB • 2026年06月11日
Dependabotは、Ruby、JavaScript、Python、PHP、Elixir、Rust、Java、.NET、Elm、Go向けの自動化された依存関係管理のためのパッケージ群です。Dependabot-Coreのバージョン0.119.0.beta1から0.125.1未満のバージョンでは、ソースブランチ名に悪意のある注入可能なbashコードが含まれている場合、dependabot-commonおよびdependabot-go_modulesにおいてリモートコード実行（RCE）の脆弱性が存在します。例えば、Dependabotが以下のソースブランチ名を使用するように設定されている場合："/$({curl,127.0.0.1})"、ソースリポジトリのクローン作成時に、Dependabotは以下のURLに対してHTTPリクエストを実行します：127.0.0.1。修正はバージョン0.125.1に適用されました。回避策として、Dependabot::Sourceクラスに渡す前にブランチ名をエスケープすることができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.