pullit vulnerable to command injection

NGHIÊM TRỌNG 9.8CVE-2018-25083 · GHSA-8px5-63x9-5c7p · Công bố 27/03/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2018-25083 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng pull it (pull it project), pullit.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.7%, cao hơn 86.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.4.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
pull it pull_it_project	`< 1.4.0`	`1.4.0`
pullit npm	`< 1.4.0`	`1.4.0`

Mô tả

Versions of pullit prior to 1.4.0 are vulnerable to Command Injection. The package does not validate input on git branch names and concatenates it to an exec call, allowing attackers to run arbitrary commands in the system.

Recommendation

Upgrade to version 1.4.0 or later.

Credits

This vulnerability was discovered by @lirantal

Mô tả của NVD

The pullit package before 1.4.0 for Node.js allows OS Command Injection because eval is used on an attacker-supplied Git branch name.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2018-25083 · ADVISORY
jkup/pullit · WEB
jkup/pullit commit 4fec455 · WEB
hackerone.com/reports/315773 · WEB
jkup/pullit · PACKAGE
security.snyk.io/vuln/npm:pullit:20180214 · WEB

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí