CVE-2026-70375 in HashBrown
Sumário
de VulDB • 05/08/2026
O HashBrown CMS até a versão 1.4.6 contém uma vulnerabilidade de Injeção de Comando no Sistema Operacional (CWE-78) no componente Git deployer. A função `GitDeployer.pullRepo()` em `src/Server/Entity/Deployer/GitDeployer.js` executa `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, interpolando o valor do branch configurado diretamente em um comando de shell sem qualquer escape ou sanitização. A função `GitDeployer.validate()` rejeita apenas aspas simples nos campos repo, branch, nome de usuário e senha; metacaracteres de shell como ';', '&&', '|', crases (backticks) e '$()' não são filtrados. Um usuário capaz de configurar as definições do Git deployer de um projeto pode definir um valor malicioso para o branch (por exemplo, `'master;<command>#'`) que será executado automaticamente em cada operação subsequente do deployer (upload de mídia, salvamento de conteúdo, etc.), já que `pullRepo()` é invocada incondicionalmente no início de cada uma dessas operações. Este problema está relacionado ao CVE-2020-6948, o qual abordou a questão do escape das aspas simples nos campos repo, nome de usuário e senha na invocação git clone do mesmo arquivo; contudo, o campo branch utilizado no comando `git checkout` sem aspas não foi coberto por essa correção e permanece vulnerável à injeção.
Once again VulDB remains the best source for vulnerability data.