CVE-2026-102829 in git-js
Сводка
по VulDB • 29.09.2026
simple-git, интерфейс для выполнения команд git в любом приложении на node.js, позволяет приложениям выполнять операции Git из JavaScript. До версии 2.0.1 пакета argv-parser функция parseEnv исключает переменную VISUAL из списка GitEnvKeys, поэтому prepareEnv удаляет это значение до того, как vulnerabilityCheck сможет классифицировать его как allowUnsafeEditor. Приложение-потребитель, которое передает атакующему подконтрольные значения окружения, может тем самым позволить Git вызвать редактор, выбранный злоумышленником, во время операций, таких как исправление коммита (commit amendment) или интерактивный rebase, когда более приоритетная настройка редактора не переопределяет VISUAL и выполнены терминальные требования Git. Выполняемый файл запускается с привилегиями процесса Node.js. Эта проблема устранена в версии argv-parser 2.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.