CVE-2025-11148 in check-branches
要約
〜によって VulDB • 2026年06月28日
check-branches パッケージの全バージョンに、コマンドインジェクション（Command Injection）の脆弱性が存在します。check-branches は、git ブランチ間で競合が存在しないことを確認するために、ローカルまたは CI 経由で対話的に使用されるコマンドラインツールです。
しかし、同ライブラリは以下のような慣習に従っており、これが悪用される可能性があります： 1. ブランチ名をそのまま（プレーンテキストとして）信頼する 2. ユーザー入力を連結して git コマンドを実行する
ブランチ名は潜在的にユーザー入力となり得ます。例えば、プルリクエストを通じてリモートでブランチを作成できる場合や、リポジトリへの特権アクセスがある場合に該当します。そのため、任意のコマンドを実行するために悪用される可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.