CVE-2026-55849

WysokieCVSS 8.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Podatność w narzędziu @cyclonedx/cyclonedx-npm umożliwia wykonanie dowolnych poleceń systemu operacyjnego. Problem występuje w wersjach od 2.1.0 do 5.0.0, gdy parametr --workspace jest przekazywany do podpowłoki bez odpowiedniego oczyszczenia, a zmienna npm_execpath jest niezdefiniowana lub pusta.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami użytkownika uruchamiającego narzędzie, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Należy niezwłocznie zaktualizować @cyclonedx/cyclonedx-npm do wersji 5.0.0 lub nowszej. Do czasu aktualizacji unikać używania parametru --workspace z niezaufanymi danymi wejściowymi.

Inne podatności w @cyclonedx/cyclonedx-npm

CVE-2026-71538Wysokie
@cyclonedx/cyclonedx-npm tworzy CycloneDX Software Bill of Materials z projektów npm. W wersjach przed 6.0.0 ścieżka awaryjna dla Windows w src/npmRunner.ts, używana gdy npm_execpath nie podaje ścieżki do CLI npm, może zbudować polecenie powłoki zawierające niezaufaną wartość z opcji --workspace. Gdy atakujący może wpłynąć na tę opcję i osiągnięta zostanie awaryjna ścieżka wykonania npm, metaznaki powłoki w wartości workspace mogą wykonać dowolne polecenia systemowe z uprawnieniami użytkownika uruchamiającego CLI, umożliwiając dostęp do danych, modyfikację plików lub zakłócenie usług.

Oryginalny opis (angielski, źródło NVD)

@cyclonedx/cyclonedx-npm creates CycloneDX Software Bill of Materials from npm projects. From 2.1.0 before 5.0.0, the CLI passes user-supplied --workspace values to a subshell without proper sanitization when npm_execpath is unset or empty, allowing arbitrary OS command execution with the privileges of the invoking user. This issue is fixed in version 5.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS