Bollettino del 29 settembre 2026
CVE-2026-102828: git-js (steveukx)
Vulnerabilità critica, punteggio 9,8 su 10, in git-js (steveukx). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: iniezione di comandi del sistema operativo.
- Gravità
- 9,8 su 10 (critical)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Tipo di difetto
- CWE-184
CWE-78: iniezione di comandi del sistema operativo - Pubblicata
- 29 settembre 2026
Descrizione originale
simple-git, an interface for running git commands in any node.js application, enables applications to execute Git operations from JavaScript. From 3.15.0 until 4.0.1, the default blockUnsafeOperationsPlugin does not classify trailer.<token>.cmd as unsafe configuration. An application that passes attacker-controlled values through SimpleGitOptions.config or inline -c arguments can therefore allow Git to invoke an attacker-selected shell command when git interpret-trailers processes the configured trailer. The command executes with the operating-system identity and permissions of the Node.js process. This issue is fixed in 4.0.1.