p PatchFirst

CVE-2026-71538

CVE-2026-71538 · @cyclonedx/cyclonedx-npm: Shell Injection via Unsanitized --workspace Argument on Windows

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

@cyclonedx/cyclonedx-npm creates CycloneDX Software Bill of Materials from npm projects. Prior to version 6.0.0, the Windows fallback path in src/npmRunner.ts, used when npm_execpath does not provide the npm CLI path, can construct a shell command containing an untrusted value from the --workspace option. When an attacker can influence that option and the fallback npm execution path is reached, shell metacharacters in the workspace value can execute arbitrary operating-system commands with the privileges of the user running the CLI, allowing data access, file modification, or service disruption. This issue is fixed in version 6.0.0.

CVSS 8.5 · Высокий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • cyclonedx-node-npm

    Версии
    • < 6.0.0: Затронуто

    Нет опубликованного исправления

  • @cyclonedx/cyclonedx-npm npm

    Затронутые диапазоны версий
    • SEMVER: < 6.0.0

    Обновитесь до 6.0.0

Первоисточники

Проверьте свой сервер →