Zaloguj się
Deutsch English Español Polski
Wysoka

Command injection in simple-git

  • Ujawniono: 02.04.2022
  • Aktualizacja: 11.10.2026 10:22

simple-git (maintained as git-js named repository on GitHub) is a light weight interface for running git commands in any node.js application.The package simple-git before 3.5.0 are vulnerable to Command Injection due to an incomplete fix of CVE-2022-24433 which only patches against the git fetch attack vector. A similar use of the --upload-pack feature of git is also supported for git clone, which the prior fix didn't cover. A fix was released in simple-git@3.5.0.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm simple-git < 3.5.0 3.5.0

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-88
Platforma
npm
Paczka
simple-git
Ujawniono
02.04.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-28xr-mwxg-3qc8 - CC BY 4.0

Historia podatności: simple-git

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (10) w archiwum
Wszystkich wpisów
10
Pierwsza → ostatnia
03.2022 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 7

Ujawnienia w latach

Istotność:
  1. simple-git unsafe-operation guard does not block trailer command configuration
    Krytyczna CVE-2026-102828 >= 3.15.0, < 4.0.1 4.0.1
  2. simple-git allows command execution through unblocked Git configuration includes
    Wysoka · 8.1 CVE-2026-102826 < 4.0.0 4.0.0
  3. simple-git: unsafe-operations plugin bypass via git long-option abbreviation (--receive-p/--exe) -> command execution (residual of CVE-2026-28291)
    Wysoka · 8.1 CVE-2026-102827 < 4.0.0 4.0.0
  4. simple-git is vulnerable to Remote Code Execution
    Wysoka · 9.8 CVE-2026-6951 < 3.36.0 3.36.0
  5. simple-git Affected by Command Execution via Option-Parsing Bypass
    Wysoka · 8.1 CVE-2026-28291 < 3.32.0 3.32.0
  6. simple-git has blockUnsafeOperationsPlugin bypass via case-insensitive protocol.allow config key enables RCE
    Krytyczna · 9.8 CVE-2026-28292 >= 3.15.0, < 3.32.3 3.32.3
  7. simple-git < 3.16.0 - Remote Code Execution
    Wysoka · 8.1 CVE-2022-25860 < 3.16.0 3.16.0
  8. simple-git < 3.15.0 - Remote Code Execution
    Krytyczna · 9.8 CVE-2022-25912 < 3.15.0 3.15.0
  9. Command injection in simple-git ten wpis
    Wysoka · 8.1 CVE-2022-24066 < 3.5.0 3.5.0
  10. Command injection in simple-git
    Wysoka · 8.1 CVE-2022-24433 < 3.3.0 3.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.