CVE-2026-70375 in HashBrown
Сводка
по VulDB • 06.08.2026
В системе управления контентом HashBrown до версии 1.4.6 включительно уязвимость внедрения команд операционной системы (OS Command Injection, CWE-78) присутствует в компоненте Git deployer. Функция `GitDeployer.pullRepo()` из файла `src/Server/Entity/Deployer/GitDeployer.js` выполняет вызов `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, напрямую интерполируя значение настроенной ветки в команду оболочки без экранирования. Функция `GitDeployer.validate()` отклоняет только символ одинарной кавычки в полях репозитория, ветки (branch), имени пользователя и пароля; при этом метасимволы оболочки, такие как ';', '&&', '|', обратные кавычки и `$()`, не фильтруются. Пользователь, имеющий возможность настроить параметры Git deployer для проекта, может задать вредоносное значение ветки (например, `master;<command>#`), которое будет выполняться автоматически при каждой последующей операции deployer (загрузка медиафайлов, сохранение контента и т.д.), поскольку функция `pullRepo()` вызывается без условий в начале каждой такой операции. Данная уязвимость связана с CVE-2020-6948, которая устраняла проблему экранирования одинарных кавычек для полей репозитория, имени пользователя и пароля при выполнении команды git clone в том же файле; однако поле ветки (branch), используемое в команде `git checkout` без кавычек, не было охвачено этим исправлением и остается уязвимым для внедрения.
If you want to get best quality of vulnerability data, you may have to visit VulDB.