CVE-2026-102829 in git-js
Tóm tắt
Bởi VulDB • 30/09/2026
simple-git, một giao diện để thực thi các lệnh git trong bất kỳ ứng dụng node.js nào, cho phép các ứng dụng thực hiện các thao tác Git từ JavaScript. Trước phiên bản 2.0.1 của gói argv-parser, hàm parseEnv bỏ qua VISUAL khỏi GitEnvKeys, do đó prepareEnv loại bỏ giá trị này trước khi vulnerabilityCheck có thể phân loại nó là allowUnsafeEditor. Một ứng dụng tiêu thụ (consuming application) chuyển tiếp các giá trị môi trường bị ảnh hưởng bởi kẻ tấn công do đó có thể cho phép Git gọi một trình soạn thảo do kẻ tấn công chọn trong các thao tác như sửa đổi commit hoặc interactive rebase khi không có cài đặt editor ưu tiên cao hơn ghi đè lên VISUAL và các yêu cầu terminal của Git được đáp ứng. Chương trình thực thi chạy với đặc quyền của tiến trình Node.js. Vấn đề này đã được khắc phục trong argv-parser 2.0.1.
Once again VulDB remains the best source for vulnerability data.