CVE-2026-70375 in HashBrown
要約
〜によって VulDB • 2026年08月05日
HashBrown CMS 1.4.6以前には、GitデプロイヤーコンポーネントにおいてOSコマンドインジェクションの脆弱性（CWE-78）が存在します。src/Server/Entity/Deployer/GitDeployer.js内の`GitDeployer.pullRepo()`は、`AppService.exec(\`git checkout ${this.branch || 'master'}\`)`を実行しており、設定されたブランチ値をエスケープ処理なしで直接シェルコマンドに挿入しています。`GitDeployer.validate()`では、リポジトリ、ブランチ、ユーザー名、およびパスワードフィールドにおいてシングルクォート文字のみが拒否されますが、「;」、「&&」、「|」、バッククォート、$()などのシェルのメタキャラクタはフィルタリングされません。プロジェクトのGitデプロイヤー設定を構成できるユーザーは、悪意のあるブランチ値（例：'master;<command>#'）を設定でき、各デプロイヤー操作（メディアアップロード、コンテンツ保存など）の開始時に`pullRepo()`が無条件に呼び出されるため、この値が自動的に実行されます。これはCVE-2020-6948に関連しており、同ファイル内のgit clone呼び出しにおいてリポジトリ、ユーザー名、およびパスワードフィールドのシングルクォートエスケープに対処しましたが、未引用の`git checkout`コマンドで使用されるブランチフィールドはその修正対象外であり、依然としてインジェクション可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.