CVE-2026-6951
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 — wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece simple-git przed wersją 3.36.0 umożliwia zdalne wykonanie kodu (RCE) z powodu niekompletnej łatki dla CVE-2022-25912. Łatka blokowała opcję -c, ale nie równoważną formę --config, co pozwala atakującemu na wykorzystanie protokołu ext:: do wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kontroli nad serwerem lub aplikacją przez atakującego, który może dostarczyć niesprawdzone dane do argumentu options w simple-git. Skutkiem może być pełna kompromitacja systemu, kradzież danych lub dalsze ataki.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę simple-git do wersji 3.36.0 lub nowszej. Dodatkowo, zaleca się walidację i sanityzację wszystkich danych wejściowych przekazywanych do funkcji git, aby uniemożliwić wstrzykiwanie złośliwych opcji.
Oryginalny opis (angielski, źródło NVD)
Versions of the package simple-git before 3.36.0 are vulnerable to Remote Code Execution (RCE) due to an incomplete fix for [CVE-2022-25912](https://security.snyk.io/vuln/SNYK-JS-SIMPLEGIT-3112221) that blocks the -c option but not the equivalent --config form. If untrusted input can reach the options argument passed to simple-git, an attacker may still achieve remote code execution by enabling protocol.ext.allow=always and using an ext:: clone source.