CVE-2026-70375

HashBrown CMS through 1.4.6 contains an OS Command Injection vulnerability (CWE-78) in the Git deployer component. GitDeployer.pullRepo in src/Server/Entity/Deployer/GitDeployer.js executes AppService.exec, interpolating the configured branch value directly into a shell command with no escaping.

CVSS v3 8.8 HIGH

8.8^/10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 5.9

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References

Link	Resource
https://cve.turansec.uz/advisories/TRN-B571F773
https://github.com/HashBrownCMS/hashbrown-cms

Configurations

No configuration.

History

24 Oct 2026, 16:10

Type	Values Removed	Values Added
Summary	(es) HashBrown CMS hasta la versión 1.4.6 contiene una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en el componente de despliegue de Git. GitDeployer.pullRepo() en src/Server/Entity/Deployer/GitDeployer.js ejecuta AppService.exec(’git checkout ${this.branch \|\| ’master’}’), interpolando el valor de la rama configurada directamente en un comando de shell sin escape. GitDeployer.validate() solo rechaza un carácter de comilla simple en los campos de repositorio, rama, nombre de usuario y contraseña; los metacaracteres de shell como ’;’, ’&&’, ’\|’, backticks y ’$()’ no se filtran. Un usuario capaz de configurar los ajustes del desplegador de Git de un proyecto puede establecer un valor de rama malicioso (por ejemplo, ’master;[command]#’) que se ejecuta automáticamente en cada operación de despliegue posterior (carga de medios, guardado de contenido, etc.), ya que pullRepo() se invoca incondicionalmente al inicio de cada una de dichas operaciones. Esto está relacionado con CVE-2020-6948, que abordó el escape de comillas simples de los campos de repositorio, nombre de usuario y contraseña en la invocación de git clone del mismo archivo; el campo de rama utilizado en el comando git checkout sin comillas no fue cubierto por esa corrección y sigue siendo inyectable.	(es) HashBrown CMS hasta la versión 1.4.6 contiene una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en el componente de despliegue de Git. GitDeployer.pullRepo() en src/Server/Entity/Deployer/GitDeployer.js ejecuta AppService.exec(’git checkout ${this.branch \|\| ’master’}’), interpolando el valor de la rama configurada directamente en un comando de shell sin escape. GitDeployer.validate() solo rechaza un carácter de comilla simple en los campos de repositorio, rama, nombre de usuario y contraseña; los metacaracteres de shell como ’;’, ’ y y ’, ’\|’, backticks y ’$()’ no se filtran. Un usuario capaz de configurar los ajustes del desplegador de Git de un proyecto puede establecer un valor de rama malicioso (por ejemplo, ’master;[command]#’) que se ejecuta automáticamente en cada operación de despliegue posterior (carga de medios, guardado de contenido, etc.), ya que pullRepo() se invoca incondicionalmente al inicio de cada una de dichas operaciones. Esto está relacionado con CVE-2020-6948, que abordó el escape de comillas simples de los campos de repositorio, nombre de usuario y contraseña en la invocación de git clone del mismo archivo; el campo de rama utilizado en el comando git checkout sin comillas no fue cubierto por esa corrección y sigue siendo inyectable.

23 Oct 2026, 21:10

Type	Values Removed	Values Added
Summary		(es) HashBrown CMS hasta la versión 1.4.6 contiene una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en el componente de despliegue de Git. GitDeployer.pullRepo() en src/Server/Entity/Deployer/GitDeployer.js ejecuta AppService.exec(’git checkout ${this.branch \|\| ’master’}’), interpolando el valor de la rama configurada directamente en un comando de shell sin escape. GitDeployer.validate() solo rechaza un carácter de comilla simple en los campos de repositorio, rama, nombre de usuario y contraseña; los metacaracteres de shell como ’;’, ’&&’, ’\|’, backticks y ’$()’ no se filtran. Un usuario capaz de configurar los ajustes del desplegador de Git de un proyecto puede establecer un valor de rama malicioso (por ejemplo, ’master;[command]#’) que se ejecuta automáticamente en cada operación de despliegue posterior (carga de medios, guardado de contenido, etc.), ya que pullRepo() se invoca incondicionalmente al inicio de cada una de dichas operaciones. Esto está relacionado con CVE-2020-6948, que abordó el escape de comillas simples de los campos de repositorio, nombre de usuario y contraseña en la invocación de git clone del mismo archivo; el campo de rama utilizado en el comando git checkout sin comillas no fue cubierto por esa corrección y sigue siendo inyectable.

Information

Published : 2026-08-05 07:16

Updated : 2026-10-24 16:10

NVD link : CVE-2026-70375

Mitre link : CVE-2026-70375

CVE.ORG link : CVE-2026-70375

JSON object : View

Products Affected

No product.

CWE

CWE-78

Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

8.8 /10