漏洞概述 漏洞名称: Command Execution via Option-Parsing Bypass in simple-git 漏洞描述: 是一个允许从 JavaScript 运行原生 Git 命令的库。 某些命令接受选项以执行其他命令，这非常危险，除非用户明确允许，否则执行被拒绝。 该漏洞允许恶意攻击者在即使是在“安全”状态下也能执行其他命令，即使用户没有明确允许。 漏洞由 CVE-2022-25860 的不正确补丁引入。 漏洞影响了所有版本，包括 3.28.0。 影响范围 受影响版本: <3.32.0 修复版本: 3.32.0 CVSS 评分: 8.1 / 10 (High) 攻击向量: Network 攻击复杂度: High 特权要求: None 用户交互: None 范围: Unchanged 机密性: High 完整性: High 可用性: High 修复方案 修复版本: 3.32.0 修复方法: 修复了 CVE-2022-25860 的不正确补丁，防止通过选项解析绕过执行命令。 POC 代码 利用代码 参考链接 GitHub 仓库 simple-git 插件文件