Command injection in simple-git

緊急 9.8CVE-2022-24433 · GHSA-3f95-r44v-8mrg · 11/03/2022 公開 · 17/06/2026 更新

要点

CVE-2022-24433 は simple-git (simple-git project), simple-git に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.7%（全脆弱性の 89.7% より高い）。
対処：3.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
simple-git simple-git_project	`< 3.3.0`	`3.3.0`
simple-git npm	`< 3.3.0`	`3.3.0`

概要

The package simple-git before 3.3.0 is vulnerable to Command Injection via argument injection. When calling the .fetch(remote, branch, handlerFn) function, both the remote and branch parameters are passed to the git fetch subcommand. By injecting some git options, it was possible to get arbitrary command execution.

NVD の説明

The package simple-git before 3.3.0 are vulnerable to Command Injection via argument injection. When calling the .fetch(remote, branch, handlerFn) function, both the remote and branch parameters are passed to the git fetch subcommand. By injecting some git options it was possible to get arbitrary command execution.