p PatchFirst

CVE-2025-11148

CVE-2025-11148

CVSS 9.8 · Критический · EPSS 1,4%

Затронуты ли вы?

  • check-branchesНет опубликованного исправления
  • check-branches npmНет опубликованного исправления

Как узнать установленную версию:

npm ls check-branches

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания check-branches и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

All versions of the package check-branches are vulnerable to Command Injection check-branches is a command-line tool that is interacted with locally, or via CI, to confirm no conflicts exist in git branches. However, the library follows these conventions which can be abused: 1. It trusts branch names as they are (plain text) 2. It spawns git commands by concatenating user input Since a branch name is potentially a user input - as users can create branches remotely via pull requests, or simply due to privileged access to a repository - it can effectively be abused to run any command.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • check-branches

    Версии
    • ≥ 0: Затронуто (semver)

    Нет опубликованного исправления

  • check-branches npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 0.0.19

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →