PT-2024-18946 · Ggit · Ggit

Liran Tal · Publicado 2024-10-07 · Atualizado 2026-03-27 · CVE-2024-21532

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Todas as versões do ggit

Descrição

A vulnerabilidade diz respeito à injeção de comando por meio da API fetchTags(branch), que permite que a entrada do usuário especifique o branch a ser buscado. Essa entrada é então concatenada com um comando git e passada para a API exec() do processo filho do Node.js, que não é segura.

Recomendações

Para todas as versões, considere desativar a API fetchTags(branch) até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à função exec() para minimizar o risco de injeção de comando. Evite usar dados inseridos pelo usuário na variável branch para impedir que comandos maliciosos sejam executados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-21532

GHSA-62CX-5XJ4-WFM4

Produtos afetados

Ggit

Referências · 11

• https://github.com/bahmutov/ggit · Nota
• https://github.com/bahmutov/ggit/blob/2e85b0316d9c272e067dca5679d39e302f4cb9cd/README.md?plain=1#L3 · Nota
• https://twitter.com/integ_sec/status/2037550357052625091 · Publicação no Twitter
• https://t.me/cvedetector/7314 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1843525247988887774 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-21532 · Nota de Segurança
• https://gist.github.com/lirantal/d8f87b366d2078e6118ab7bf2b005f02 · Nota
• https://t.me/cvenotify/97378 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-62cx-5xj4-wfm4 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1845343773213196482 · Publicação no Twitter
• https://security.snyk.io/vuln/SNYK-JS-GGIT-5731320 · Nota