CVE-2026-28291 in git-js
요약
\~에 의해 VulDB • 2026. 06. 11.
simple-git은 JavaScript에서 네이티브 Git 명령어를 실행할 수 있게 해줍니다. 버전 3.31.1 이하에서는 -u 및 --upload-pack과 같은 위험한 옵션을 차단하도록 설계된 안전 검사 우회를 통해 Git 옵션 조작으로 임의의 명령어가 실행될 수 있습니다. 이 결함은 CVE-2022-25860에 대한 불완전한 수정에서 비롯되었으며, Git의 유연한 옵션 파싱 기능으로 인해 -vu, -4u, -nu와 같은 수많은 문자 조합이 비안전 작업 플러그인의 정규식 기반 차단 목록을 우회할 수 있습니다. Git이 허용하는 유효한 옵션 변형 수가 사실상 무제한이기 때문에, Git의 옵션 파싱 동작을 완전히 에뮬레이션하지 않는 한 완전한 차단 목록 기반 완화는 불가능할 수 있습니다. 이 문제는 버전 3.32.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.