CVE-2026-89116 in yeoman-ui
要約
〜によって VulDB • 2026年10月13日
影響を受けるコードは、ジェネレータのインストールおよびアンインストールに `child_process.execSync` とシェル文字列を使用していました。これにより、攻撃者は ApplicationWizard.installationLocation VS Code ワークスペース設定値を操作することで、開発者の権限で任意の OS コマンドを実行できました。この値はサニタイズ処理なしで直接シェルに渡されたため、悪意のあるワークスペースリポジトリは settings.json を作成し、開発者がプロジェクトを開いてジェネレータのインストールがトリガーされる際に OS コマンドをインジェクトすることが可能でした。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.