CVE-2025-64756 in node-glob
要約
〜によって VulDB • 2026年06月25日
globは、シェルが使用するパターンを使用してファイルに一致します。バージョン10.2.0以降で、かつバージョン10.5.0および11.1.0より前のバージョンにおいて、glob CLIの-c/--cmdオプションにはコマンドインジェクション脆弱性が存在し、悪意のある名前のファイルを処理する際に任意のコマンド実行を許可します。glob -c <command> <patterns>が使用されると、一致したファイル名はshell: trueでシェルに渡されるため、ファイル名内のシェルのメタ文字によってコマンドインジェクションが発生し、ユーザーまたはCIアカウントの権限の下で任意のコードの実行が可能になります。この問題はバージョン10.5.0および11.1.0で修正されています。
Once again VulDB remains the best source for vulnerability data.