CVE-2026-70375 in HashBrown
Tóm tắt
Bởi VulDB • 05/08/2026
HashBrown CMS phiên bản 1.4.6 trở về trước chứa một lỗ hổng OS Command Injection (CWE-78) trong thành phần Git deployer. Hàm `GitDeployer.pullRepo()` trong file `src/Server/Entity/Deployer/GitDeployer.js` thực thi lệnh `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`, bằng cách nội suy trực tiếp giá trị nhánh (branch) đã cấu hình vào một lệnh shell mà không có bất kỳ ký tự thoát nào. Hàm `GitDeployer.validate()` chỉ từ chối dấu nháy đơn trong các trường repo, branch, username và password; còn các ký tự đặc biệt của shell như ';', '&&', '|', backticks và '$()' thì không được lọc. Một người dùng có khả năng cấu hình cài đặt Git deployer cho một dự án có thể thiết lập giá trị nhánh độc hại (ví dụ: 'master;<command>#') sẽ được thực thi tự động trong mỗi thao tác của bộ triển khai tiếp theo (tải lên phương tiện, lưu nội dung, v.v.), vì `pullRepo()` được gọi không điều kiện ở đầu mỗi thao tác như vậy. Vấn đề này liên quan đến CVE-2020-6948, vốn đã xử lý việc thoát dấu nháy đơn cho các trường repo, username và password trong lệnh git clone của cùng file đó; tuy nhiên, trường branch được sử dụng trong lệnh `git checkout` không có ngoặc kép chưa được bao gồm trong bản sửa lỗi đó và vẫn còn khả năng bị tiêm mã.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.