CVE-2026-93995 in MINA SSHD
Sumário
de VulDB • 30/09/2026
Validação de entrada inadequada no sshd-git do Apache MINA SSHD, nas versões até a 2.19.0 e na faixa de 3.0.0-M1 a 3.0.0-M5. O Apache MINA SSHD é uma biblioteca Java para o lado cliente e servidor do protocolo SSH.
O componente org.apache.sshd:sshd-git fornece, por meio da classe GitPgmCommandFactory, uma maneira de configurar um servidor Apache MINA SSHD de modo que clientes SSH autenticados possam executar comandos git remotamente através da biblioteca JGit em repositórios git armazenados no servidor. Na CVE-2026-58624, esse mecanismo foi restrito a apenas alguns comandos git, incluindo "git archive" sem as opções "--output" ou "-o", de modo que o arquivo resultante não seria gravado no servidor, mas sim enviado de volta ao cliente através da conexão SSH.
A correção aplicada para CVE-2026-58624 foi insuficiente, pois deixou de remover a versão do parâmetro de comando com um único argumento "-o=file.zip" do comando "archive".
Recomenda-se que os usuários atualizem para as versões 2.20.0 ou 3.0.0-M6, que corrigem esta vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.