Veille sécuritéBackend & données
P3Critique
L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient interpolés dans des commandes shell. L’avis a été mis à jour le 2026-11-05 à 19:56:40 +02:00 avec des détails de correction ; la version corrigée indiquée est 1.24.0.
Node.js
IdentifiantCVE-2026-31862
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.24.0
Analyse technique
Les paramètres de chemins, branches, messages et identifiants de commit étaient intégrés à des commandes transmises à execAsync. La correction remplace ces appels par spawnAsync avec shell désactivé et ajoute une validation par liste autorisée du paramètre commit dans /api/git/commit-diff.
Impact, versions et correctif
Événement datéLa vulnérabilité était publiée avant la période, le 2026-03-11T00:25:43Z. L’événement retenu est la mise à jour substantielle de l’avis, datée du 2026-11-05T17:56:40Z, soit le 2026-11-05 à 19:56:40 +02:00.
ImpactUn attaquant authentifié peut exécuter des commandes avec les privilèges du processus serveur Node.js, compromettant potentiellement le serveur et ses données.
Versions affectéesVersions <= 1.23.0
Version corrigée1.24.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.1
EPSS0,45% · percentile 39,6%
Publication2026-03-11T02:25:43+02:00
Mise à jour2026-11-05T19:56:40+02:00
Action recommandée
Mettre à jour @siteboon/claude-code-ui vers la version 1.24.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).