CVE-2026-42089

सारांश

Yeoman Environment जनरेटरों को खोजने, बनाने और चलाने, तथा यह कॉन्फ़िगर करने के लिए एक API प्रदान करता है कि जनरेटर कहाँ और कैसे रिज़ॉल्व होता है। संस्करण 2.9.0 से 6.0.0 तक, कॉलर द्वारा आपूर्ति किए गए पैकेज नामों से गायब स्थानीय जनरेटर पैकेजों को उपयोगकर्ता की पुष्टि के बिना इंस्टॉल किया जाता है। डाउनस्ट्रीम उपभोक्ताओं में, जो इस पथ में हमलावर-नियंत्रित प्रोजेक्ट कॉन्फ़िगरेशन पास करते हैं, इसके परिणामस्वरूप CLI बूटस्ट्रैप के दौरान मनमाना पैकेज इंस्टॉलेशन और कोड निष्पादन हो सकता है। संवेदनशील विधि installLocalGenerators() है, जो उपयोगकर्ता से पूछे बिना सीधे repository.install() को कॉल करती है। यह समस्या संस्करण 6.0.0 में ठीक कर दी गई है।

• CVE-2026-42089अनुसंधान

  एक स्थानीय पैकेज स्थापना सहायक ने कॉलर-आपूर्ति पैकेज नामों पर बहुत अधिक भरोसा किया। yeoman-environment में, लापता जनरेटर उपयोगकर्ता की पुष्टि के बिना स्थापित किए जा सकते हैं, जिससे हमलावर-नियंत्रित प्रोजेक्ट मेटाडेटा पैकेज-स्थापना और कोड-निष्पादन पथ में बदल जाता है।