@siteboon/claude-code-ui é Vulnerável a Injeção de Comando Shell em Rotas Git

A exploração bem-sucedida desta vulnerabilidade permite a um atacante injetar comandos do sistema operacional através dos parâmetros gitName e gitEmail no endpoint /api/user/git-config. Como a autenticação JWT é necessária (embora possa ser contornada através de VULN-01), o atacante precisa de acesso válido, mas a capacidade de executar comandos arbitrários representa um risco significativo. Isso pode levar ao roubo de dados confidenciais, modificação de arquivos do sistema, instalação de malware ou até mesmo ao controle total do servidor. A injeção de comandos é uma vulnerabilidade crítica que pode ter um impacto devastador se explorada com sucesso.

Organizations using @siteboon/claude-code-ui in their Node.js applications, particularly those relying on JWT authentication for access control, are at risk. Development teams using this package in CI/CD pipelines or automated deployment systems are also vulnerable if they haven't implemented robust input validation. Shared hosting environments where multiple applications share the same server are especially susceptible, as a compromise of one application could lead to the compromise of others.

• nodejs / server:

ps aux | grep '/api/user/git-config' | grep -i 'gitName'| grep -i 'gitEmail'

• nodejs / server:

journalctl -u your-node-app -g 'api/user/git-config' --since "1 hour ago"

• generic web:

curl -I 'your-server.com/api/user/git-config?gitName=;ls' # Check for command execution in response headers

1. 2026-03-10Disclosure

   disclosure

2. 2026-03-10Patch

   patch

1. Reservado2026-03-09
2. Publicada2026-03-10
3. Modificada2026-03-13
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-31861 é atualizar o componente @siteboon/claude-code-ui para a versão 1.24.0 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como a validação e sanitização rigorosa de todas as entradas de usuário nos parâmetros gitName e gitEmail. Implementar um Web Application Firewall (WAF) com regras para detectar e bloquear tentativas de injeção de comandos também pode ajudar a reduzir o risco. Monitore os logs do servidor em busca de atividades suspeitas relacionadas ao endpoint /api/user/git-config.