simple-git - CVE-2026-6951
Date de publication :
Il s'agit d'une vulnérabilité de contournement de correctif dans simple-git.
simple-git est une interface légère Node.js destinée à exécuter des commandes git dans les applications JavaScript côté serveur.
Le correctif de CVE-2022-25912 bloquait l'option -c mais pas sa forme longue équivalente --config. Un attaquant peut passer --config protocol.ext.allow=always pour activer le protocole ext::, puis fournir une source de clone malveillante de la forme ext::sh -c <commande> afin d'exécuter une commande arbitraire sur l'hôte. La précondition est qu'une entrée non fiable contrôlée par l'attaquant atteigne l'argument options de la fonction clone.
Elle permet une exécution de code arbitraire à distance sur le serveur Node.js hébergeant l'application.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-94 : Improper Control of Generation of Code ('Code Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
simple-git versions 3.15.0 jusqu'à 3.35.0