Command injection in simple-git

NGHIÊM TRỌNG 9.8CVE-2022-24066 · GHSA-28xr-mwxg-3qc8 · Công bố 01/04/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-24066 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng simple-git (simple-git project), simple-git.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 3.9%, cao hơn 90.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.5.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
simple-git simple-git_project	`< 3.5.0`	`3.5.0`
simple-git npm	`< 3.5.0`	`3.5.0`

Mô tả

simple-git (maintained as git-js named repository on GitHub) is a light weight interface for running git commands in any node.js application.The package simple-git before 3.5.0 are vulnerable to Command Injection due to an incomplete fix of CVE-2022-24433 which only patches against the git fetch attack vector. A similar use of the --upload-pack feature of git is also supported for git clone, which the prior fix didn't cover. A fix was released in [email protected].

Mô tả của NVD

The package simple-git before 3.5.0 are vulnerable to Command Injection due to an incomplete fix of [CVE-2022-24433](https://security.snyk.io/vuln/SNYK-JS-SIMPLEGIT-2421199) which only patches against the git fetch attack vector. A similar use of the --upload-pack feature of git is also supported for git clone, which the prior fix didn't cover.