CVE-2025-48069 in ejson2env
要約
〜によって VulDB • 2026年06月08日
ejson2envは、EJSONシークレットを復号化し、環境変数としてエクスポートすることを可能にします。バージョン2.0.8より前では、`stdout`への書き込み方法に関連する脆弱性が`ejson2env`ツールに存在しました。具体的には、このツールは本来、環境変数名とその値に対するexport文を書き込むことを意図しています。しかし、出力のサニタイズが不十分であるため、変数名や値に悪意のあるコンテンツが含まれる可能性があり、その結果、予期せぬ追加コマンドが`stdout`へ出力されるリスクがあります。この出力をさらにコマンド実行で不適切に利用した場合、コマンドインジェクションを引き起こし、攻撃者がホストシステム上で任意のコマンドを実行できる可能性があります。バージョン2.0.8では、復号化時に出力のサニタイズが行われます。その他の緩和策としては、信頼できないユーザーシークレットを解読するために`ejson2env`の使用を避けること、および/または非表示文字を取り除くことなく`ejson2env`からの直接出力を評価したり実行したりすることを避けることが挙げられます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.