push-dir Enables OS Command Injection

緊急 9.8CVE-2019-10803 · GHSA-926x-m6m5-3mmp · SNYK-JS-PUSHDIR-559009 · 28/02/2020 公開 · 17/06/2026 更新

要点

CVE-2019-10803 は push-dir (push-dir project), push-dir に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.8%（全脆弱性の 86.7% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
push-dir push-dir_project	`≤ 0.4.1`	修正版なし
push-dir npm	`≤ 0.4.1`	修正版なし

概要

push-dir through 0.4.1 allows execution of arbritary commands. Arguments provided as part of the variable opt.branch is not validated before being provided to the git command within index.js#L139. This could be abused by an attacker to inject arbitrary commands.

NVD の説明

push-dir through 0.4.1 allows execution of arbritary commands. Arguments provided as part of the variable "opt.branch" is not validated before being provided to the "git" command within "index.js#L139". This could be abused by an attacker to inject arbitrary commands.