Command Injection in async-git

CRITIQUE 9.8CVE-2020-28490 · GHSA-6qpr-9mc5-7gch · SNYK-JS-ASYNCGIT-1064877 · Published 18/02/2021 · updated 17/06/2026

En bref

CVE-2020-28490 est une vulnérabilité CRITIQUE (CVSS 9.8) touchant async-git (async-git project), async-git.
Probabilité d'exploitation dans les 30 prochains jours (EPSS) : 2.5%, plus élevée que 85.1% des vulnérabilités.
Correctif : mettre à jour vers 1.13.2 ou plus récent.

Package	Affected versions	Patched versions
async-git async-git_project	`< 1.13.2`	`1.13.2`
async-git npm	`< 1.13.2`	`1.13.2`

Description

The package async-git before 1.13.2 are vulnerable to Command Injection via shell meta-characters (back-ticks). For example: git.reset('atouch HACKEDb')

NVD description

The package async-git before 1.13.2 are vulnerable to Command Injection via shell meta-characters (back-ticks). For example: git.reset('atouch HACKEDb')

References

nvd.nist.gov/vuln/detail/CVE-2020-28490 · ADVISORY
omrilotan/async-git#14 · WEB
omrilotan/async-git commit d1950a5 · WEB
snyk.io/vuln/SNYK-JS-ASYNCGIT-1064877 · WEB
npmjs.com/package/async-git · WEB

Autres vulnérabilités de async-git

Tout voir →

Running one of these products? Scan your site to see whether it exposes a vulnerable version.

Scan my site free