FICHE CVE

CVE-2026-89066

Publiée le 2026-09-11 · Dernière modification le 2026-09-11

🇫🇷 EN BREF

Les développeurs utilisant des versions de `projen` antérieures à la 0.103.0 s'exposent à un risque d'exécution de commandes arbitraires sur leurs postes de travail ou leurs environnements CI. Un attaquant peut y parvenir en incitant un utilisateur à utiliser un fichier de configuration de projet ou un nom de fichier de dépôt contenant des caractères shell malveillants. Cette attaque est relativement facile à exécuter, mais nécessite que la victime interagisse localement avec les fichiers du projet malveillant.

CVSS 4.08.4 ÉLEVÉE

Type de faiblesse

Injection de commandes système · CWE-78 CWE-88

Publiée2026-09-11

Dernière modification2026-09-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper neutralization of special elements used in an OS command in the task synthesis component in projen before 0.103.0 might allow context-dependent attackers to execute arbitrary commands on a developer workstation or continuous integration runner via shell metacharacters in project configuration values and repository file names that are interpolated into generated task definitions. To remediate this issue, users should upgrade to version 0.103.0 and then re-synthesize the project so that .projen/tasks.json is regenerated with the corrected task definitions. Upgrading alone is not sufficient because the generated task definition file is committed to the repository.