Średnia

sbt: Source dependency feature (via crafted VCS URL) leads to arbitrary code execution on Windows

Ujawniono: 24.03.2026
Aktualizacja: 11.10.2026 12:22

Summary

On Windows, sbt uses Process("cmd", "/c", ...) to run VCS commands (git, hg, svn). The URI fragment (branch, tag, revision) is user-controlled via the build definition and passed to these commands without validation. Because cmd /c interprets &, |, and ; as command separators, a malicious fragment can execute arbitrary commands.

Patched version

Technically, sbt 1.12.7 is patched, but it has a bug that makes source dependency non-functional, so update to sbt 1.12.8 or later instead.

Details

Resolvers.scala L84–95 — git resolver passes uri.getFragment() to run() without sanitization
Resolvers.scala L137–145 — run() uses Process("cmd", "/c", ...) on Windows, so cmd interprets && as command separator

PoC

bash

# build.properties
# sbt.version=1.12.5  # Tested on those two versions of sbt
sbt.version=2.0.0-RC9

scala

// build.sbt

ThisBuild / scalaVersion := "2.12.19"

lazy val root = project
  .in(file("."))
  .dependsOn(vulnerable)

lazy val vulnerable = RootProject(
  uri("https://github.com/sbt/io.git#develop%26%26calc.exe")
)

Impact

Windows users are impacted. An attacker can execute arbitrary Windows commands if they control the dependency URI.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.scala-sbt:sbt	>= 0.9.5, < 1.12.8	1.12.8

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Słabość (CWE): CWE-78
Platforma: Java / Kotlin (Maven)
Paczka: org.scala-sbt:sbt
Ujawniono: 24.03.2026
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-x4ff-q6h8-v7gw - CC BY 4.0

Historia podatności: org.scala-sbt:sbt

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 10.2023 03.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 1
Niska 1

Ujawnienia w latach

2023: 1
2024: 0
2025: 0
2026: 1

24.03.2026

sbt: Source dependency feature (via crafted VCS URL) leads to arbitrary code execution on Windows ten wpis

Średnia CVE-2026-32948 >= 0.9.5, < 1.12.8 1.12.8
24.10.2023

sbt vulnerable to arbitrary file write via archive extraction (Zip Slip)

Niska · 3.9 CVE-2023-46122 >= 0.3.4, < 1.9.7 1.9.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację