CVE-2026-76055

WysokieCVSS 7.5

Opublikowano: 24/08/2026(UTC)Przetłumaczono: 24/08/2026(UTC)NVD NIST

Streszczenie

Niewłaściwa neutralizacja specjalnych elementów w komendach systemu operacyjnego w komponencie menedżera pakietów Black Duck blackduck-c-cpp przed wersją 3.0.7 pozwala osobie mogącej utworzyć plik w skanowanym katalogu budowania na wykonanie komend systemu operacyjnego jako konto uruchamiające skan. Ścieżki plików napotkane podczas skanowania są interpolowane do komend wykonywanych przez powłokę bez odpowiedniego cytowania lub escapowania, co pozwala na interpretację metaznaków powłoki.

Ocena ryzyka

Wykonanie dowolnych komend systemowych może prowadzić do pełnej kompromitacji systemu, na którym uruchamiane jest skanowanie, w tym do kradzieży danych lub instalacji złośliwego oprogramowania.

Rekomendacja

Zaktualizuj blackduck-c-cpp do wersji 3.0.7 lub nowszej, która zawiera poprawkę neutralizującą metaznaki powłoki w ścieżkach plików.

Inne podatności w Black Duck blackduck-c-cpp

CVE-2026-76054Wysokie
Wywołanie procesu z użyciem widocznych wrażliwych informacji w Black Duck blackduck-c-cpp w wersjach od 1.0.17 do 3.0.6 pozwala osobie mogącej wykonać kod w skanowanym projekcie na uzyskanie tokena API Black Duck poprzez środowisko procesu, które jest dziedziczone przez podprocesy uruchamiane podczas przechwytywania budowania i skanowania podpisów. Dotyczy to tylko przypadków, gdy token jest dostarczany przez zmienne środowiskowe BLACKDUCK_API_TOKEN lub BD_HUB_TOKEN.

Oryginalny opis (angielski, źródło NVD)

Improper Neutralization of Special Elements used in an OS Command in the package manager component of Black Duck blackduck-c-cpp before 3.0.7 allows an actor able to create a file within the scanned build directory to execute operating system commands as the account running the scan. Filesystem paths encountered while traversing the scanned directory are interpolated into command strings that are executed through a shell without quoting or escaping, so shell metacharacters within those paths are interpreted rather than treated as literal text. No control over the build command or the tool's configuration is required.