simple-git vulnerable to Remote Code Execution when enabling the ext transport protocol

緊急 9.8CVE-2022-25912 · GHSA-9p95-fxvg-qgq2 · 06/12/2022 公開 · 17/06/2026 更新

要点

CVE-2022-25912 は simple-git (simple-git project), simple-git に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.1%（全脆弱性の 87.7% より高い）。
対処：3.15.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
simple-git simple-git_project	`< 3.15.0`	`3.15.0`
simple-git npm	`< 3.15.0`	`3.15.0`

概要

The package simple-git before 3.15.0 is vulnerable to Remote Code Execution (RCE) when enabling the ext transport protocol, which makes it exploitable via clone() method. This vulnerability exists due to an incomplete fix of CVE-2022-24066.

NVD の説明

The package simple-git before 3.15.0 are vulnerable to Remote Code Execution (RCE) when enabling the ext transport protocol, which makes it exploitable via clone() method. This vulnerability exists due to an incomplete fix of [CVE-2022-24066](https://security.snyk.io/vuln/SNYK-JS-SIMPLEGIT-2434306).