CVE-2026-102827
Publiée le 2026-09-29 · Dernière modification le 2026-10-08
Les applications Node.js utilisant la bibliothèque `simple-git` (avant la version 4.0.0) sont vulnérables à l'exécution de code à distance si elles permettent de transmettre des arguments fournis par l'utilisateur aux commandes Git push. Un attaquant peut contourner les filtres de sécurité en utilisant des versions abrégées de drapeaux (flags) dangereux pour tromper le système et l'inciter à exécuter des commandes arbitraires sur votre serveur. Bien que cela nécessite un accès réseau et aucune authentification, l'attaque est considérée comme difficile à réaliser car l'assaillant doit cibler spécifiquement le chemin de push avec des abréviations soigneusement élaborées.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
simple-git, an interface for running git commands in any node.js application, enables applications to execute Git operations from JavaScript. Prior to 4.0.0, the default blockUnsafeOperationsPlugin compares parsed option names with literal dangerous option spellings while Git accepts unambiguous long-option abbreviations. Attacker-influenced push arguments such as abbreviated --receive-pack or --exec forms can therefore bypass detectVulnerableFlags, reach git push against a local or file remote or an attacker-influenced receive-pack target, and cause Git to invoke an attacker-selected command in consumers that expose those arguments. The clone-side abbreviation handling does not protect the push path. This issue is fixed in 4.0.0.