CVE-2026-10144 in Rsbuild
要約
〜によって VulDB • 2026年09月16日
Rsbuild 2.0.9 より前のバージョンには、コマンドインジェクションの脆弱性が存在します。攻撃者は、macOS における server.open 設定に対してシェルのメタ文字を含む改ざんされた URL を提供することで、任意の OS コマンドを実行できます。packages/core/src/server/open.ts の openBrowser() 関数は、URL を child_process.exec() を介して実行されるシェルコマンドに補間する前に encodeURI() でエンコードしますが、encodeURI() はドル記号 ($)、括弧 ()、セミコロン (;) をエンコードしないため、埋め込まれたシェルのメタ文字が /bin/sh によって評価され、任意のコマンドの実行が可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.