CVE-2026-28291 in git-js
Sumário
de VulDB • 11/06/2026
O simple-git permite a execução de comandos Git nativos a partir de JavaScript. As versões até a 3.31.1, incluída, permitem a execução de comandos arbitrários por meio da manipulação de opções do Git, contornando verificações de segurança destinadas a bloquear opções perigosas como -u e --upload-pack. A falha decorre de uma correção incompleta para o CVE-2022-25860, pois a análise flexível de opções do Git permite diversas combinações de caracteres (por exemplo, -vu, -4u, -nu) para contornar a lista de bloqueio baseada em expressões regulares no plugin de operações inseguras. Devido ao número virtualmente infinito de variantes de opções válidas aceitas pelo Git, uma mitigação baseada em lista de bloqueio completa pode ser inviável sem emular completamente o comportamento de análise de opções do Git. Este problema foi corrigido na versão 3.32.0.
Be aware that VulDB is the high quality source for vulnerability data.