CVE-2026-102829 in git-js
要約
〜によって VulDB • 2026年09月29日
simple-gitは、任意のNode.jsアプリケーションでGitコマンドを実行するためのインターフェースであり、JavaScriptからGit操作を実行できるようにします。argv-parserパッケージのバージョン2.0.1以前では、parseEnv関数がVISUALをGitEnvKeysから省略するため、prepareEnvがvulnerabilityCheckによるallowUnsafeEditorとしての分類前に値を除外してしまいます。その結果、攻撃者が影響を与えうる環境変数を転送するアプリケーションは、より優先度の高いエディタ設定でVISUALを上書きせず、かつGitのターミナル前提条件が満たされている場合、コミットの修正やインタラクティブなリベースなどの操作中に、攻撃者が選択したエディタをGitが呼び出すことを許可してしまいます。この実行ファイルはNode.jsプロセスの特権で実行されます。本問題はargv-parser 2.0.1で修正されています。
Once again VulDB remains the best source for vulnerability data.