CVE-2024-21533

总结

所有版本的 ggit 包均存在通过 clone() API 触发的任意参数注入漏洞，该 API 允许指定要克隆的远程 URL 以及磁盘上要克隆到的文件。该库既未对用户输入进行清理，也未验证给定的 URL 协议，同时未正确使用双破折号 POSIX 字符（--）向 git 二进制文件传递命令行标志以标识选项结束。

• CVE-2024-21533-PoC-ggitPoC

  CVE-2024-21533 的概念验证漏洞利用程序，该漏洞是 ggit npm 包中的一个参数注入漏洞，可通过 --upload-pack Git 选项实现任意命令执行。