CVE-2026-28292

RCE w Simple-Git — ominięcie wcześniejszych poprawek CVE

CVSS 9.8v3.1pub. 2026-03-10upd. 2026-06-30

Biblioteka `simple-git` (wersje 3.15.0–3.22.x oraz 3.23.1–3.32.2) zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez command injection. Podatność pozwala atakującemu ominąć poprawki wprowadzone dla dwóch wcześniejszych podatności (CVE-2022-25860 i CVE-2022-25912) i przejąć pełną kontrolę nad maszyną hosta.

▸ Pokaż oryginał (EN)

`simple-git`, an interface for running git commands in any node.js application, has an issue in versions 3.15.0 through 3.32.2 that allows an attacker to bypass two prior CVE fixes (CVE-2022-25860 and CVE-2022-25912) and achieve full remote code execution on the host machine. Version 3.23.0 contains an updated fix for the vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi danych wejściowych przekazywanych do poleceń git w aplikacjach Node.js korzystających z biblioteki `simple-git`. Mechanizmy walidacji i neutralizacji danych wejściowych, wprowadzone jako poprawki dla CVE-2022-25860 oraz CVE-2022-25912, mogą zostać obejście (bypass), co sklasyfikowano jako CWE-78 (command injection) oraz CWE-178 (nieprawidłowe porównywanie z uwzględnieniem wielkości liter). Atakujący może spreparować złośliwe dane wejściowe, które zostaną zinterpretowane jako polecenia systemowe i wykonane na serwerze.

Skutki

Skuteczne wykorzystanie podatności umożliwia atakującemu zdalne wykonanie dowolnego kodu (RCE) na maszynie hosta bez konieczności uwierzytelnienia, co może prowadzić do pełnego przejęcia systemu, ujawnienia danych lub ich modyfikacji.

Mitygacja

Należy zaktualizować bibliotekę `simple-git` do wersji 3.23.0 lub wyższej zawierającej poprawkę. Szczegóły dostępne są w repozytorium projektu oraz w security advisory GHSA-r275-fr43-pm7q.

Kogo dotyczy

Simple-Git Project Simple-Git w wersjach od 3.15.0 do 3.32.2 (z wyjątkiem wersji 3.23.0, która zawiera poprawkę). Dotyczy aplikacji Node.js korzystających z biblioteki `simple-git`.

Uwagi

Podatność stanowi bypass wcześniejszych poprawek dla CVE-2022-25860 i CVE-2022-25912, co świadczy o niewystarczającym utrwaleniu pierwotnych poprawek. Poprawka dostępna jest w commicie f7042088aa2dac59e3c49a84d7a2f4b26048a257.