CVE-2026-110634 · CVSS 9.8 · git-diff before 2.0.7 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying crafted …

NVD (CVSS crítico) · 14 oct, 17:17

La librería git-diff anterior a la versión 2.0.7 contiene una vulnerabilidad de inyección de comandos OS (CVE-2026-110634, CVSS 9.8) que permite a atacantes ejecutar comandos de shell mediante cadenas manipuladas en la API gitDiff. Los atacantes que controlan la cadena de documento a comparar pueden incrustar sustituciones $(cmd) o backtick que shelljs.exec evalúa, ejecutando comandos con los privilegios del proceso Node.js.