@siteboon/claude-code-ui 在 Git 路由中存在 Shell 命令注入漏洞

该命令注入漏洞的潜在影响非常严重。攻击者可以利用此漏洞在服务器上执行任意代码，从而完全控制受影响的系统。攻击者可以窃取敏感数据，安装恶意软件，甚至利用该系统发起进一步的攻击。由于该漏洞可以通过 JWT 绕过身份验证，攻击者无需有效凭证即可利用此漏洞。如果攻击者能够利用 VULN-01 进一步绕过 JWT 验证，则风险将进一步增加。这可能导致数据泄露、系统被破坏以及其他严重的后果。

Organizations using @siteboon/claude-code-ui in their Node.js applications, particularly those relying on JWT authentication for access control, are at risk. Development teams using this package in CI/CD pipelines or automated deployment systems are also vulnerable if they haven't implemented robust input validation. Shared hosting environments where multiple applications share the same server are especially susceptible, as a compromise of one application could lead to the compromise of others.

• nodejs / server:

ps aux | grep '/api/user/git-config' | grep -i 'gitName'| grep -i 'gitEmail'

• nodejs / server:

journalctl -u your-node-app -g 'api/user/git-config' --since "1 hour ago"

• generic web:

curl -I 'your-server.com/api/user/git-config?gitName=;ls' # Check for command execution in response headers

1. 2026-03-10Disclosure

   disclosure

2. 2026-03-10Patch

   patch

1. 已保留2026-03-09
2. 发布日期2026-03-10
3. 修改日期2026-03-13
4. EPSS 更新日期2026-03-23

修复此漏洞的首要措施是立即升级至 @siteboon/claude-code-ui 1.24.0 或更高版本。如果无法立即升级，可以考虑以下缓解措施：首先，严格审查并验证 /api/user/git-config 端点接收的所有用户输入，确保输入不包含恶意命令字符。其次，实施更严格的 JWT 身份验证机制，防止 JWT 绕过。第三，使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，阻止包含潜在恶意命令的请求到达服务器。最后，监控服务器日志，查找任何可疑活动，并及时响应。