CVE-2026-42290
WysokieStreszczenie
W wersjach przed 1.2.1 i 2.0.2, narzędzie protobufjs-cli wywoływało JSDoc, budując polecenie powłoki z ścieżek plików wejściowych. Ścieżki plików zawierające metaznaki powłoki mogły być interpretowane przez powłokę zamiast być przekazywane do JSDoc jako zwykłe argumenty.
Ocena ryzyka
Ta podatność może prowadzić do wykonania nieautoryzowanych poleceń w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.2.1 lub 2.0.2, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Inne podatności w protobufjs-cli
Zobacz wszystkie- CVE-2026-44295Wysokie
W protobufjs-cli przed wersjami 1.2.1 i 2.0.2 występowała podatność, która pozwalała na generowanie niebezpiecznych identyfikatorów JavaScript z nazw kontrolowanych przez schemat. Przy generowaniu statycznego kodu JavaScript z przygotowanego schematu lub opisu JSON, niektóre nazwy mogły być zapisane w wygenerowanym wyjściu bez odpowiedniej sanitizacji.
- CVE-2026-54271Wysokie
W protobufjs-cli, przed wersjami 1.3.2 i 2.5.0, występowała niekompletna poprawka dotycząca niebezpiecznego przetwarzania nazw w generowaniu kodu statycznego. Affected versions mogły emitować niebezpieczne odniesienia JavaScript podczas generowania statycznego wyjścia z przygotowanego wejścia JSON.
Oryginalny opis (angielski, źródło NVD)
protobufjs-cli is the command line add-on for protobuf.js. Prior to 1.2.1 and 2.0.2, pbts invoked JSDoc by building a shell command string from input file paths and executing it through child_process.exec. File paths containing shell metacharacters could therefore be interpreted by the shell instead of being passed to JSDoc as plain arguments. This vulnerability is fixed in 1.2.1 and 2.0.2.