CVE-2026-51190: Критична вразливість ін’єкції команд у Serverless-Devs

Що відомо

Команда "s init" у Serverless-Devs версії 3.1.11 і нижче передає неперевірений ввід користувача до child_process.spawn() з параметром shell: true. URL, що закінчується на ".git", обходить перевірку вводу, що дозволяє виконувати ін’єкцію команд ОС при запуску "s init" з аргументом, контрольованим зловмисником.

Бізнес-вплив

Ця вразливість може призвести до виконання довільних команд на сервері, що створює серйозну загрозу безпеці інфраструктури. Для операторів ІТ це означає ризик компрометації систем, витоку даних або порушення роботи сервісів. Власникам інфраструктури слід оцінити потенційний вплив і пріоритезувати оновлення або інші заходи безпеки.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень від розробника Serverless-Devs та застосувати їх. Якщо оновлення недоступні, слід обмежити використання команди "s init" або контролювати вхідні параметри, а також переглянути логи на предмет підозрілої активності. Зменшення мережевого доступу до уразливих систем і регулярна перевірка резервних копій допоможуть мінімізувати ризики. Команда підтримки DataHouse готова допомогти з перевіркою версій, управлінням патчами та аналізом логів для підвищення безпеки вашої інфраструктури.

Джерела

• NVD
• Reference