CVE-2021-23632
Code injection in npm git
Что произошло
All versions of package git are vulnerable to Remote Code Execution (RCE) due to missing sanitization in the Git.git method, which allows execution of OS commands rather than just git commands. At this time, there is no known workaround. There has been no patch released.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
git npm
{
"status": "affected",
"version": "*",
"versionEndIncluding": "0.1.5"
}CVSS: оценки и векторы
Оценка CVSS отсутствует.
Источники и ссылки
Происхождение полей
{
"cwes": [],
"epss": {
"source": "epss",
"received_at": "2026-11-02T21:06:06.961555+00:00"
},
"title": {
"source": "osv",
"received_at": "2026-11-02T12:14:31.623890+00:00"
},
"scores": [],
"affected": [
"osv"
],
"published": {
"source": "osv",
"received_at": "2026-11-02T12:14:31.623890+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-02T21:06:06.961555+00:00"
},
"references": [
"osv"
],
"description": {
"source": "osv",
"received_at": "2026-11-02T12:14:31.623890+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены03.11.2026, 00:06
- Опубликована02.11.2026, 15:14
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2023-29007 Git is a revision control system. Prior to versions 2.30.9, 2.31.8, 2.32.7, 2.33.8, 2.34.8, 2.35.8, git-scm / git · fedoraproject / fedora | Высокий | 7.8 | — | Патч | 26.04.2023 | |
| CVE-2026-62960 Git for Windows: Server-advertised bundle-uri can trigger outbound SMB callbacks via UNC and file:// paths on Windows git-for-windows / git | Критический | 7.4 | 0,46 % | PoC | 21.08.2026 | |
| CVE-2026-32631 Git for Windows: `git clone` from manipulated repositories can leak NTLM hashes to arbitrary servers git-for-windows / git | Высокий | 7.4 | 0,32 % | 15.04.2026 | ||
| CVE-2025-66413 Git for Windows leaks NTLM hash when cloning from an attacker-controlled server git-for-windows / git | Высокий | 7.4 | 0,28 % | 10.03.2026 | ||
| CVE-2025-48384 Git allows arbitrary code execution through broken config quoting git / git | Критический | 8.1 | 4,38 % | KEV | 08.07.2025 |