@siteboon/claude-code-ui は Git ルートでシェルコマンドインジェクションの脆弱性があります

この脆弱性は、攻撃者がユーザーのGit名とメールアドレスの入力値を介してシェルコマンドを注入できることを意味します。JWT認証は必須ですが、VULN-01と呼ばれる別の脆弱性を利用することで回避できる可能性があります。攻撃者は、この脆弱性を悪用して、機密情報を盗んだり、システム設定を変更したり、さらにはサーバーを完全に制御したりする可能性があります。攻撃の成功は、VULN-01の存在と、攻撃者がその脆弱性を悪用できる能力に依存します。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性があります。

Organizations using @siteboon/claude-code-ui in their Node.js applications, particularly those relying on JWT authentication for access control, are at risk. Development teams using this package in CI/CD pipelines or automated deployment systems are also vulnerable if they haven't implemented robust input validation. Shared hosting environments where multiple applications share the same server are especially susceptible, as a compromise of one application could lead to the compromise of others.

• nodejs / server:

ps aux | grep '/api/user/git-config' | grep -i 'gitName'| grep -i 'gitEmail'

• nodejs / server:

journalctl -u your-node-app -g 'api/user/git-config' --since "1 hour ago"

• generic web:

curl -I 'your-server.com/api/user/git-config?gitName=;ls' # Check for command execution in response headers

1. 2026-03-10Disclosure

   disclosure

2. 2026-03-10Patch

   patch

1. 予約済み2026-03-09
2. 公開日2026-03-10
3. 更新日2026-03-13
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、@siteboon/claude-code-uiをバージョン1.24.0にアップデートすることです。もしアップデートがすぐに実行できない場合は、WAF（Web Application Firewall）を使用して、/api/user/git-configエンドポイントへの悪意のあるリクエストをブロックすることを検討してください。また、入力値のサニタイズを強化し、シェルコマンドへのユーザー入力の直接的な挿入を避けるようにコードを修正することも有効です。アップデート後、システムログを監視し、異常なコマンド実行の兆候がないか確認してください。