@google/clasp vulnerável a clonagem ou pull insegura de path traversal, permitindo a execução de um script malicioso

Um atacante pode explorar essa vulnerabilidade para injetar código malicioso no ambiente de desenvolvimento do usuário. Ao manipular o processo de pull ou clone da biblioteca, o atacante pode modificar arquivos arbitrários no sistema de arquivos do desenvolvedor, além do diretório do projeto. Isso pode levar à execução de comandos não autorizados, roubo de informações confidenciais ou comprometimento completo do sistema. A gravidade da vulnerabilidade reside na possibilidade de execução remota de código, com potencial para causar danos significativos.

Developers using @google/clasp to develop Google Apps Script projects are at risk, particularly those who frequently clone or pull scripts from external sources or use older, unpatched versions of the library. Shared hosting environments where multiple developers use the same @google/clasp installation are also at increased risk.

• nodejs / clasp:

find / -name clasp.cmd -o -name clasp.sh -print0 | xargs -0 grep -i 'pull|clone' 

• nodejs / clasp: Check for unusual files or modifications within the Google Apps Script project directories after a pull or clone operation. • nodejs / clasp: Review the output of npm audit for vulnerabilities in dependencies used by the project.

1. 2026-03-13Disclosure

   disclosure

1. Reservado2026-03-12
2. Publicada2026-03-13
3. Modificada2026-03-16
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar a biblioteca @google/clasp para a versão 3.2.0 ou superior, que inclui a correção para essa vulnerabilidade. Como alternativa, antes de executar os comandos pull ou clone, revise cuidadosamente os arquivos que serão modificados para garantir que apenas os arquivos esperados do projeto sejam alterados. Implementar uma política de segurança que restrinja a clonagem ou o download de scripts apenas de fontes confiáveis também é crucial. Monitore o sistema de arquivos em busca de modificações inesperadas.