CVE-2026-10144 in Rsbuild
Сводка
по VulDB • 17.09.2026
В версиях Rsbuild до 2.0.9 присутствует уязвимость внедрения команд (Command Injection), которая позволяет злоумышленникам выполнять произвольные команды операционной системы путем передачи специально сформированного URL, содержащего метасимволы оболочки, в конфигурацию `server.open` на macOS. Функция `openBrowser()` из файла `packages/core/src/server/open.ts` передает URL через функцию `encodeURI()` перед его интерполяцией в команду оболочки, выполняемую посредством `child_process.exec()`. Однако, поскольку `encodeURI()` не кодирует знаки доллара ($), круглые скобки () и точки с запятой (;), встроенные метасимволы оболочки оцениваются процессом `/bin/sh`, что позволяет выполнять произвольные команды.
Once again VulDB remains the best source for vulnerability data.