CVE-2026-25063 in gradle-completion
要約
〜によって VulDB • 2026年06月10日
gradle-completionは、Gradle用のBashおよびZshの補完サポートを提供します。gradle-completionの9.3.0以前には、悪意のあるGradleビルドファイルを含むプロジェクトでユーザーがBashのタブ補完をトリガーした際に任意のコード実行を可能にするコマンドインジェクション脆弱性が存在することが発見されました。Bash用の`gradle-completion`スクリプトは、Gradleタスク名およびタスク説明を十分にサニタイズしないため、ユーザーがBashでコマンドを補完する際に（ビルド内のタスクを明示的に実行することなく）、悪意のあるGradleビルドファイル経由でコマンドインジェクションが可能になります。例えば、バッククォートで囲まれた文字列を含むタスク説明がある場合、その文字列は補完リストでタスク説明を表示する際にコマンドとして評価されます。タスク実行はGradleの中核機能ですが、この内部的な実行により予期せぬ結果を招く可能性があります。この脆弱性はzshの補完には影響しません。最初に修正されたバージョンは9.3.1です。回避策として、`.bashrc`または`.bash_profile`から`gradle-completion`を削除することで、GradleのBash補完を一時的に無効化することが可能かつ効果的です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.