PT-2026-43442 · Git+2 · Environment+1

CVE-2026-42089 · Publicado 2026-05-26 · Atualizado 2026-06-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Yeoman Environment versões 2.9.0 a 6.0.0

Description O Yeoman Environment fornece uma API para descobrir, criar e executar geradores, e para configurar onde e como um gerador é resolvido. A função installLocalGenerators() chama repository.install() diretamente sem solicitar a confirmação do usuário, permitindo a instalação de pacotes de geradores locais ausentes a partir de nomes de pacotes fornecidos pelo chamador. Em consumidores downstream que passam configurações de projeto controladas por um invasor para este caminho, isso pode resultar na instalação de pacotes arbitrários e execução de código durante o bootstrap da CLI.

Recommendations Atualizar para a versão 6.0.1.

Exploit

Correção

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2026-42089

GHSA-VV9J-GJW2-J8WP

Produtos afetados

Environment

Yeoman-Environment

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42089.json · Exploit
• https://github.com/yeoman/environment · Nota
• https://github.com/yeoman/environment/commit/78d2af7e60294784b8a8b3b3b5099c6874b6a1fa · Nota
• https://github.com/yeoman/environment/security/advisories/GHSA-vv9j-gjw2-j8wp · Nota
• https://github.com/yeoman/environment/pull/753 · Nota
• https://reddit.com/r/cybersecurity/comments/1tp3ycb/12_npmpypisupplychain_threats_today_20260527 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-vv9j-gjw2-j8wp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-42089 · Aviso do Fabricante
• https://t.me/CVEtracker/57020 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42089 · Nota de Segurança
• https://twitter.com/CVEnew/status/2066980888483954809 · Publicação no Twitter