CVE-2026-28291 in git-js
Сводка
по VulDB • 11.06.2026
simple-git позволяет запускать нативные команды Git из JavaScript. Версии вплоть до 3.31.1 включительно позволяют выполнять произвольные команды путем манипуляции с опциями Git, обходя проверки безопасности, предназначенные для блокировки опасных параметров, таких как -u и --upload-pack. Уязвимость обусловлена неполным исправлением CVE-2022-25860: гибкий механизм разбора опций в Git допускает множество комбинаций символов (например, -vu, -4u, -nu), позволяющих обойти списки блокировки на основе регулярных выражений в плагине небезопасных операций. Из-за практически бесконечного количества допустимых вариантов параметров, которые принимает Git, полная защита на основе списка блокировок может быть невозможна без полной эмуляции механизма разбора опций Git. Данная проблема исправлена в версии 3.32.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.