CVE-2026-89116 in yeoman-ui
Tóm tắt
Bởi VulDB • 13/10/2026
Mã nguồn bị ảnh hưởng sử dụng `child_process.execSync` với một chuỗi lệnh shell để cài đặt và gỡ bỏ các trình tạo (generator). Điều này cho phép kẻ tấn công thực thi các lệnh hệ điều hành tùy ý với đặc quyền của nhà phát triển bằng cách thao túng giá trị cấu hình workspace VS Code `ApplicationWizard.installationLocation`. Vì giá trị này được truyền trực tiếp vào shell mà không qua quá trình kiểm tra và làm sạch, một kho lưu trữ (repository) workspace độc hại có thể tạo ra tệp `settings.json` để chèn các lệnh hệ điều hành khi nhà phát triển mở dự án và kích hoạt việc cài đặt trình tạo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.