CVE-2026-110634 [重大] git-diff: gitDiff APIに特定の文字列を送信することで、OSコマンドインジェクションの脆弱性が存在する。

公開日 2026-10-15 GitHub Advisory（critical）深刻度 CRITICAL

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

git-diff: gitDiff APIへの巧妙な文字列の入力によって、OSコマンドインジェクションの脆弱性が存在する。

git-diffのバージョン2.0.7より前のバージョンには、巧妙な文字列をgitDiff APIに入力することで、攻撃者がシェルコマンドを実行できる脆弱性があります。攻撃者が差分ドキュメント文字列を制御できる場合、$(cmd)やバッククォートによる置換を埋め込むことができ、shelljs.execがそれを評価し、Node.jsのプロセス権限でコマンドを実行する可能性があります。

影響を受けるパッケージ：
- npm (JavaScript) git-diff: 影響を受けるバージョンは2.0.7より前、修正は2.0.7で実施済み。