Injection de commande OS dans @simple-git/argv-parser (CVE-2026-102829)
Résumé
Injection de commande OS dans @simple-git/argv-parser (CVE-2026-102829). Risque d'opérations non autorisées ou de divulgation. Exploitable via VISUAL. Atténuation : mise à jour vers 2.0.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Security control bypass in @simple-git/argv-parser: Git's VISUAL editor fallback is not classified as allowUnsafeEditor
Report metadata
| Field | Value |
|---|---|
| Package | @simple-git/argv-parser (npm, pkg:npm/%40simple-git/argv-parser) |
| Repository | https://github.com/steveukx/git-js |
| Component | parseEnv (packages/argv-parser/src/env/parse-env.ts), reached via vulnerabilityCheck(tokens, env) |
| Vulnerability class | Security-control bypass — incomplete denylist in unsafe-editor detection |
| Verified against | c427fbad33f1f2b11341f1cf852eedecbb106400 (@simple-git/argv-parser 1.1.1), plus the published npm artifact 1.1.1; main at 98864c6 observed still unpatched |
| API surface | Public documented API (parseEnv(raw) / vulnerabilityCheck(tokens, env)) |
| Affected in default configuration | Yes — reproduced with blockUnsafeOperationsPlugin under default options, with no unsafe allowances enabled |
Summary
GitEnvKeys in packages/argv-parser/src/env/parse-env.ts maps only editor, git_editor and git_sequence_editor to the allowUnsafeEditor category. prepareEnv keeps an environment entry only when its lowercased name is a known GitEnvKey or starts with git, so VISUAL is discarded before collectConfigVulnerabilities ever inspects it. Git, however, falls back to VISUAL when resolving an editor, so parseEnv({ VISUAL: '/tmp/evileditor' }) reports no vulnerability while an interactive Git operation will…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-102829 a été découverte dans @simple-git/argv-parser.
Des attaquants peuvent cibler un point d'entrée spécifique comme VISUAL à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour @simple-git/argv-parser vers 2.0.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @simple-git/argv-parser CVE-2026-102829 » sur le site de l'éditeur.
CVE-2026-102829 (@simple-git/argv-parser) — CWE-78
Surface d'attaque : VISUAL / allowUnsafeEditor / parseEnv / c427fbad33f1f2b11341f1cf852eedecbb106400
Correctif : 2.0.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection de commande OS (CWE-78) affecte @simple-git/argv-parser. Les attaquants atteignent le code vulnérable via VISUAL.
Consultez l'avis de l'éditeur pour les versions affectées de @simple-git/argv-parser. Surface d'attaque : VISUAL / allowUnsafeEditor / parseEnv / c427fbad33f1f2b11341f1cf852eedecbb106400.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.0.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r '@simple-git/argv-parser' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
@simple-git/argv-parserを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade @simple-git/argv-parser to 2.0.1ステージング環境で 2.0.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com