CVE-2026-89116 in yeoman-ui
요약
\~에 의해 VulDB • 2026. 10. 13.
영향을 받는 코드는 생성기 설치 및 제거를 위해 `child_process.execSync`와 셸 문자열을 사용했습니다. 이로 인해 공격자는 ApplicationWizard.installationLocation VS Code 워크스페이스 구성 값을 조작하여 개발자의 권한으로 임의의 OS 명령을 실행할 수 있었습니다. 해당 값이 sanitization(정제) 없이 셸에 직접 전달되었기 때문에, 악성 워크스페이스 저장소는 개발자가 프로젝트를 열고 생성기 설치를 트리거할 때 OS 명령어를 주입하는 `settings.json`을 작성할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.