CVE-2026-48723
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 — wyżej niż 41% wszystkich znanych CVE
Streszczenie
Browserstack-cypress-cli w wersjach przed 1.36.4 jest podatny na wstrzykiwanie poleceń systemowych poprzez parametr konfiguracyjny cypress_config_file. Funkcja loadJsFile() w pliku readCypressConfigUtil.js wykonuje polecenie powłoki, interpolując wartość cypress_config_filepath kontrolowaną przez użytkownika.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do wykonania dowolnych poleceń systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Atakujący może przejąć kontrolę nad systemem, co może skutkować utratą danych lub dostępem do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.36.6 lub nowszej, aby usunąć tę podatność. Należy również przeprowadzić audyt konfiguracji i monitorować systemy pod kątem nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
The browserstack-cypress-cli is BrowserStack's CLI which allows users to run Cypress tests on BrowserStack. Versions prior to 1.36.4 are vulnerable to OS command injection via the cypress_config_file configuration parameter. In readCypressConfigUtil.js, the loadJsFile() function constructs a shell command by interpolating the user-controlled cypress_config_filepath value into a template literal, then executes it via child_process.execSync(). Shell metacharacters in the config path (specifically " and ;) allow breaking out of the quoted argument and injecting arbitrary commands. This issue has been fixed in version 1.36.6.