CVE-2026-89066

WysokieCVSS 7.8

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Niewłaściwa neutralizacja znaków specjalnych używanych w poleceniach systemu operacyjnego w komponencie syntezy zadań w projen przed wersją 0.103.0 może pozwolić atakującym zależnym od kontekstu na wykonanie dowolnych poleceń na stacji roboczej dewelopera lub w runnerze ciągłej integracji poprzez metaznaki powłoki w wartościach konfiguracji projektu i nazwach plików repozytorium interpolowanych do generowanych definicji zadań. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.103.0, a następnie ponownie wygenerować projekt, aby plik .projen/tasks.json został odtworzony z poprawionymi definicjami zadań. Sama aktualizacja nie wystarczy, ponieważ wygenerowany plik definicji zadań jest zatwierdzany w repozytorium.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia w środowisku deweloperskim lub CI, co może prowadzić do kompromitacji stacji roboczej, wykradzenia danych lub zatrucia łańcucha dostaw oprogramowania.

Rekomendacja

Zaktualizuj projen do wersji 0.103.0, a następnie ponownie wygeneruj projekt, aby odtworzyć plik .projen/tasks.json z poprawionymi definicjami zadań.

Inne podatności w projen

CVE-2026-89065Wysokie
Względne przejście ścieżki w komponencie czyszczenia manifestu wygenerowanych plików w projen przed wersją 0.101.37 może pozwolić atakującym zależnym od kontekstu na rekurencyjne usuwanie plików i katalogów poza katalogiem projektu, które są zapisywalne przez środowisko uruchamiające projen, poprzez spreparowane wpisy w wersjonowanym manifeście wygenerowanych plików konsumowanym podczas syntezy projektu. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.101.37. Poprawiony mechanizm kontroli zawartości jest automatycznie stosowany przez środowisko uruchomieniowe projen przy następnym uruchomieniu.

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of special elements used in an OS command in the task synthesis component in projen before 0.103.0 might allow context-dependent attackers to execute arbitrary commands on a developer workstation or continuous integration runner via shell metacharacters in project configuration values and repository file names that are interpolated into generated task definitions. To remediate this issue, users should upgrade to version 0.103.0 and then re-synthesize the project so that .projen/tasks.json is regenerated with the corrected task definitions. Upgrading alone is not sufficient because the generated task definition file is committed to the repository.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS