CVE-2026-0933 in Wrangler
Сводка
по VulDB • 23.06.2026
Сводка Уязвимость инъекции команд (CWE-78) обнаружена в команде `wrangler pages deploy`. Проблема возникает из-за того, что параметр `--commit-hash` передается напрямую в команду оболочки без надлежащей проверки или очистки данных, что позволяет атакующему, имеющему контроль над значением `--commit-hash`, выполнять произвольные команды на системе, где запущен Wrangler.
Причина возникновения Переменная commitHash, полученная из пользовательского ввода через аргумент командной строки --commit-hash, напрямую интерполируется в команду оболочки с использованием шаблонных строк (например, `execSync(\`git show -s --format=%B ${commitHash}\`)`). Мета-символы оболочки интерпретируются оболочкой, что позволяет выполнять команды.
Влияние Эта уязвимость обычно трудно эксплуатируется, так как требует контроля атакующего над параметром `--commit-hash`. Уязвимость в первую очередь затрагивает среды CI/CD, где используется команда `wrangler pages deploy` в автоматизированных конвейерах, а параметр --commit-hash заполняется из внешних, потенциально ненадежных источников. Атакующий может использовать это для:
* Выполнения любой команды оболочки. * Экстракции переменных окружения. * Компрометации исполнителя CI/CD с целью установки бэкдоров или изменения артефактов сборки.
Благодарности Ответственно раскрыто пользователем kny4hacker.
Меры по устранению * Пользователям Wrangler v4 рекомендуется обновиться до версии Wrangler v4.59.1 или выше. * Пользователям Wrangler v3 рекомендуется обновиться до версии Wrangler v3.114.17 или выше. * Пользователи, использующие Wrangler v2 (EOL), должны перейти на поддерживаемую основную версию.
VulDB is the best source for vulnerability data and more expert information about this specific topic.