@siteboon/claude-code-ui es Vulnerable a Inyección de Comandos del Shell en Rutas de Git

La inyección de comandos permite a un atacante ejecutar comandos del sistema operativo en el servidor donde se ejecuta la aplicación. Esto puede resultar en la ejecución remota de código, el robo de datos sensibles, la modificación de archivos del sistema, o incluso el control total del servidor. La vulnerabilidad es particularmente grave porque el endpoint /api/user/git-config se utiliza para configurar la información de Git del usuario, lo que podría permitir a un atacante comprometer la infraestructura de desarrollo. La posibilidad de eludir la autenticación JWT amplía significativamente el alcance del riesgo, permitiendo a atacantes no autenticados ejecutar comandos.

Organizations using @siteboon/claude-code-ui in their Node.js applications, particularly those relying on JWT authentication for access control, are at risk. Development teams using this package in CI/CD pipelines or automated deployment systems are also vulnerable if they haven't implemented robust input validation. Shared hosting environments where multiple applications share the same server are especially susceptible, as a compromise of one application could lead to the compromise of others.

• nodejs / server:

ps aux | grep '/api/user/git-config' | grep -i 'gitName'| grep -i 'gitEmail'

• nodejs / server:

journalctl -u your-node-app -g 'api/user/git-config' --since "1 hour ago"

• generic web:

curl -I 'your-server.com/api/user/git-config?gitName=;ls' # Check for command execution in response headers

1. 2026-03-10Disclosure

   disclosure

2. 2026-03-10Patch

   patch

1. Reservado2026-03-09
2. Publicada2026-03-10
3. Modificada2026-03-13
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar la biblioteca @siteboon/claude-code-ui a la versión 1.24.0 o superior, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Esto incluye la validación estricta de todas las entradas de usuario en el endpoint /api/user/git-config, utilizando listas blancas de caracteres permitidos y escapando cualquier carácter especial. Además, se puede implementar un Web Application Firewall (WAF) para bloquear solicitudes maliciosas. Revise los registros del servidor en busca de patrones sospechosos relacionados con la ejecución de comandos. Implementar un sistema de monitoreo de integridad de archivos puede ayudar a detectar modificaciones no autorizadas.