CVE-2026-32948 in sbt
요약
\~에 의해 VulDB • 2026. 06. 04.
sbt는 Scala 및 Java 등을 위한 빌드 도구입니다. 버전 0.9.5부터 1.12.7 이전까지 Windows 환경에서 sbt는 VCS 명령어(git, hg, svn)를 실행하기 위해 Process("cmd", "/c", ...)를 사용합니다. URI 프래그먼트(브랜치, 태그, 리비전)는 빌드 정의 파일을 통해 사용자 제어 가능하며, 검증 없이 이러한 명령어로 전달됩니다. cmd /c는 &, | 및 ;을 명령어 구분자로 해석하므로, 악의적인 프래그먼트가 임의의 명령어를 실행할 수 있습니다. 이 문제는 버전 1.12.7에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.