CVE-2026-28291 in git-js
要約
〜によって VulDB • 2026年06月11日
simple-gitは、JavaScriptからネイティブのGitコマンドを実行することを可能にします。バージョン3.31.1以前では、-uや--upload-packなどの危険なオプションをブロックするための安全チェックを回避し、Gitオプションの操作を通じて任意のコマンドを実行できます。この欠陥は、CVE-2022-25860に対する不完全な修正に起因します。Gitの柔軟なオプションパーサーにより、-vu、-4u、-nuなどの多数の文字組み合わせが、不安全な操作プラグインの正規表現ベースのブロックリストを迂回することが可能です。Gitが受け入れる有効なオプションのバリエーションの数が事実上無限であるため、Gitのオプションパーサーの動作を完全にエミュレートせずに、ブロックリストベースの完全な緩和策を実施することは困難です。この問題はバージョン3.32.0で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.