git-diff: OS-Command-Injection über Eingabezeichenfolgen der gitDiff-Schnittstelle

Zusammenfassung

Das npm-Paket git-diff vor Version 2.0.7 erlaubt eine OS-Command-Injection über die gitDiff-Schnittstelle. Ein Angreifer, der die an die Funktion übergebenen Dokumentzeichenfolgen kontrolliert, kann Shell-Kommandosubstitutionen einbetten, die von shelljs.exec ausgewertet werden und mit den Rechten des Node.js-Prozesses ausgeführt werden. Laut Eintrag sind keine Berechtigungen oder Benutzerinteraktion erforderlich; die Gefährdung hängt davon ab, ob eine Anwendung unvertrauenswürdigen Text an die Bibliothek übergibt.

Betroffen

• git-diff-Versionen vor 2.0.7 (Mend nennt >=1.0.0 <2.0.7; alle Versionen vor 2.0.7 gelten bis zur Bestätigung durch das Repository als betroffen)

Behoben in

• Version 2.0.7 (Fix-Commit bfd727b6cf1daa671c3528d1d681f55b70e8fb19, Pull Request 16)

Umgehung

Unbekannt.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• Laut OffSeq nicht als ausgenutzt bekannt; dies ist nicht bestätigt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Anwendungs-Abhängigkeitsbäume, einschliesslich transitiver Abhängigkeiten wie package-lock.json, auf git-diff-Versionen unter 2.0.7 prüfen.
• Auf git-diff 2.0.7 aktualisieren und betroffene Anwendungen neu erstellen.
• Prüfen, ob eine öffentlich erreichbare Funktion benutzergesteuerten Text an git-diff weitergibt; falls ja und eine verwundbare Version lief, Logs und Host auf Kompromittierung prüfen.
• Repository und NVD auf Aktualisierungen überwachen, da der Eintrag noch bearbeitet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110634 at OSV (GHSA-6wfj-92cw-88vg) osv.dev
• VulnCheck advisory: git-diff before 2.0.7 OS command injection www.vulncheck.com
• Fix commit bfd727b6cf1daa671c3528d1d681f55b70e8fb19 github.com
• Pull request 16 on git-diff github.com
• git-diff repository github.com
• Mend vulnerability database entry www.mend.io
• OffSeq radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:06.