PT-2022-16694 · Unknown · Simple-Git
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do simple-git anteriores à 3.3.0
Descrição
A vulnerabilidade permite a injeção de comando por meio da injeção de argumentos. Ao chamar a função
fetch com os parâmetros remote, branch e handlerFn, tanto o parâmetro remote quanto o branch são passados para o subcomando git fetch. Ao injetar algumas opções do git, é possível executar comandos arbitrários.Recomendações
Para versões anteriores à 3.3.0, atualize para a versão 3.3.0 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada dos parâmetros
remote e branch na função fetch para impedir a execução de comandos arbitrários.Exploit
Correção
Command Injection
Special Elements Injection
Argument Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Simple-Git