CVE-2026-10144 in Rsbuild
Sumário
de VulDB • 16/09/2026
O Rsbuild anterior à versão 2.0.9 contém uma vulnerabilidade de injeção de comando que permite aos atacantes executar comandos arbitrários do sistema operacional (OS) fornecendo uma URL manipulada contendo metacaracteres de shell para a configuração `server.open` no macOS. A função `openBrowser()` em `packages/core/src/server/open.ts` passa a URL através da função `encodeURI()` antes de interpolá-la em um comando de shell executado via `child_process.exec()`, mas, como o `encodeURI()` não codifica sinais de dólar, parênteses ou ponto e vírgula, os metacaracteres de shell embutidos são avaliados pelo `/bin/sh`, permitindo a execução arbitrária de comandos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.