प्लेटफ़ॉर्म
nodejs
घटक
@google/clasp
में ठीक किया गया
3.2.1
3.2.0
CVE-2026-4092 @google/clasp में एक पथ पारगमन भेद्यता है। यह भेद्यता हमलावर को प्रोजेक्ट निर्देशिका के बाहर फ़ाइलों को संशोधित करने की अनुमति देती है, जिससे संभावित रूप से डेवलपर की मशीन पर हमलावर कोड चलाने की संभावना है। यह भेद्यता @google/clasp के संस्करण 3.2.0 से पहले के संस्करणों को प्रभावित करती है। संस्करण 3.2.0 में इस समस्या का समाधान किया गया है।
यह पथ पारगमन भेद्यता @google/clasp का उपयोग करने वाले डेवलपर्स के लिए एक महत्वपूर्ण जोखिम प्रस्तुत करती है। एक हमलावर इस भेद्यता का फायदा उठाकर प्रोजेक्ट निर्देशिका के बाहर फ़ाइलों को संशोधित कर सकता है। यह हमलावर को डेवलपर की मशीन पर दुर्भावनापूर्ण कोड चलाने की अनुमति दे सकता है, जिससे डेटा चोरी, सिस्टम समझौता या अन्य हानिकारक गतिविधियाँ हो सकती हैं। इस भेद्यता का उपयोग करने के लिए, हमलावर को @google/clasp के माध्यम से प्रोजेक्ट फ़ाइलों को खींचने या क्लोन करने के लिए प्रेरित करना होगा, जिसमें दुर्भावनापूर्ण फ़ाइलें शामिल हैं।
CVE-2026-4092 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी गंभीरता को देखते हुए, भविष्य में इसका शोषण होने की संभावना है। यह भेद्यता KEV (Know Exploited Vulnerability) सूची में शामिल नहीं है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक ज्ञात नहीं हैं। NVD और CISA ने इस CVE के लिए कोई तारीख जारी नहीं की है।
Developers using @google/clasp to develop Google Apps Script projects are at risk, particularly those who frequently clone or pull scripts from external sources or use older, unpatched versions of the library. Shared hosting environments where multiple developers use the same @google/clasp installation are also at increased risk.
• nodejs / clasp:
find / -name clasp.cmd -o -name clasp.sh -print0 | xargs -0 grep -i 'pull|clone' • nodejs / clasp: Check for unusual files or modifications within the Google Apps Script project directories after a pull or clone operation.
• nodejs / clasp: Review the output of npm audit for vulnerabilities in dependencies used by the project.
disclosure
एक्सप्लॉइट स्थिति
EPSS
1.03% (77% शतमक)
CISA SSVC
CVE-2026-4092 के प्रभाव को कम करने के लिए, @google/clasp को संस्करण 3.2.0 या बाद के संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो कुछ अस्थायी उपाय किए जा सकते हैं। केवल विश्वसनीय स्रोतों से स्क्रिप्ट को क्लोन या पुल करें। pull और clone कमांड के आउटपुट की समीक्षा करके सुनिश्चित करें कि केवल अपेक्षित प्रोजेक्ट फ़ाइलें ही संशोधित की जा रही हैं। इन उपायों को लागू करके, आप भेद्यता के शोषण के जोखिम को कम कर सकते हैं। अपग्रेड के बाद, सत्यापित करें कि भेद्यता ठीक हो गई है, @google/clasp के नवीनतम संस्करण का उपयोग करके और फ़ाइल सिस्टम तक अनधिकृत पहुंच के लिए जाँच करें।
Actualice Clasp a la versión 3.2.0 o superior. Esta versión corrige la vulnerabilidad de path traversal que permite la ejecución remota de código. Puede actualizar Clasp utilizando el gestor de paquetes npm con el comando `npm install -g @google/clasp`.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-4092 @google/clasp में एक पथ पारगमन भेद्यता है जो हमलावरों को प्रोजेक्ट निर्देशिका के बाहर फ़ाइलों को संशोधित करने की अनुमति देती है।
यदि आप @google/clasp के संस्करण 3.2.0 से पहले का संस्करण उपयोग कर रहे हैं, तो आप प्रभावित हैं।
@google/clasp को संस्करण 3.2.0 या बाद के संस्करण में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो केवल विश्वसनीय स्रोतों से स्क्रिप्ट को क्लोन या पुल करें।
CVE-2026-4092 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन भविष्य में इसका शोषण होने की संभावना है।
आधिकारिक सलाहकार @google/clasp के रिलीज़ नोट्स या Google सुरक्षा वेबसाइट पर पाया जा सकता है।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।