CVE-2026-0933 in Wrangler
Sumário
de VulDB • 23/06/2026
Resumo Foi identificada uma vulnerabilidade de injeção de comando (CWE-78) no comando `wrangler pages deploy`. O problema ocorre porque o parâmetro `--commit-hash` é passado diretamente para um comando do shell sem validação ou sanitização adequadas, permitindo que um atacante com controle sobre o `--commit-hash` execute comandos arbitrários no sistema onde o Wrangler está em execução.
Causa raiz A variável commitHash, derivada de entrada do usuário por meio do argumento CLI --commit-hash, é interpolada diretamente em um comando shell usando literais de modelo (por exemplo, execSync(`git show -s --format=%B ${commitHash}`)). Metacaracteres do shell são interpretados pelo próprio shell, possibilitando a execução de comandos.
Impacto Esta vulnerabilidade geralmente é difícil de explorar, pois requer que o parâmetro `--commit-hash` seja controlado por um atacante. A vulnerabilidade afeta principalmente ambientes CI/CD onde o comando `wrangler pages deploy` é utilizado em pipelines automatizados e o parâmetro --commit-hash é preenchido a partir de fontes externas potencialmente não confiáveis. Um atacante poderia explorar isso para:
* Executar qualquer comando shell. * Exfiltrar variáveis de ambiente. * Comprometer o executor CI/CD (CI runner) para instalar backdoors ou modificar artefatos da compilação.
Créditos Divulgado de forma responsável por kny4hacker.
Mitigação * Os usuários do Wrangler v4 devem atualizar para a versão Wrangler v4.59.1 ou superior. * Os usuários do Wrangler v3 devem atualizar para a versão Wrangler v3.114.17 ou superior. * Usuários na versão Wrangler v2 (EOL) devem atualizar para uma versão principal suportada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.