@siteboon/claude-code-ui est vulnérable à une Injection de Commandes Shell dans les Routes Git

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'exécuter des commandes système arbitraires sur le serveur hébergeant l'application. Cela peut conduire à la compromission complète du serveur, à la vol de données sensibles, à l'installation de logiciels malveillants, ou à l'utilisation du serveur comme point de pivot pour attaquer d'autres systèmes au sein du réseau. La nécessité d'un JWT pour l'exploitation est théoriquement une barrière, mais la description mentionne une possibilité de contournement (VULN-01), ce qui augmente significativement le risque. L'impact est amplifié si l'application est utilisée dans un environnement de production avec des données critiques.

Organizations using @siteboon/claude-code-ui in their Node.js applications, particularly those relying on JWT authentication for access control, are at risk. Development teams using this package in CI/CD pipelines or automated deployment systems are also vulnerable if they haven't implemented robust input validation. Shared hosting environments where multiple applications share the same server are especially susceptible, as a compromise of one application could lead to the compromise of others.

• nodejs / server:

ps aux | grep '/api/user/git-config' | grep -i 'gitName'| grep -i 'gitEmail'

• nodejs / server:

journalctl -u your-node-app -g 'api/user/git-config' --since "1 hour ago"

• generic web:

curl -I 'your-server.com/api/user/git-config?gitName=;ls' # Check for command execution in response headers

1. 2026-03-10Disclosure

   disclosure

2. 2026-03-10Patch

   patch

1. Réservé2026-03-09
2. Publiée2026-03-10
3. Modifiée2026-03-13
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour la bibliothèque @siteboon/claude-code-ui vers la version 1.24.0 ou supérieure, qui corrige cette vulnérabilité. Si une mise à jour immédiate n'est pas possible, il est recommandé de désactiver temporairement l'endpoint /api/user/git-config ou de mettre en œuvre une validation stricte des entrées gitName et gitEmail pour empêcher l'injection de caractères spéciaux. L'utilisation d'un Web Application Firewall (WAF) avec des règles spécifiques pour détecter et bloquer les tentatives d'injection de commandes peut également aider à atténuer le risque. Après la mise à jour, vérifiez que l'endpoint /api/user/git-config ne permet plus l'exécution de commandes arbitraires en tentant d'injecter des commandes malveillantes dans les paramètres gitName et gitEmail.