OS Command Injection in @cyclonedx/cyclonedx-npm via Windows-fallback voor --workspace (CVE-2026-71538)

Wat is er gebeurd

Er is een beveiligingsprobleem bekendgemaakt in @cyclonedx/cyclonedx-npm dat het Windows-fallbackpad in de npm-runnerlogica van de tool (src/npmRunner.ts) betreft. Deze fallback wordt gebruikt wanneer de omgevingsvariabele npm_execpath het pad naar de npm CLI niet levert. In dat fallbackpad kan de tool een shell-commando samenstellen waarin een niet-vertrouwde waarde uit de --workspace-optie wordt opgenomen. Als die waarde shell-metatekens bevat, kunnen deze als onderdeel van het shell-commando worden uitgevoerd.

Technische oorzaak

De kwetsbaarheid is geclassificeerd als CWE-78, Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection'). De oorzaak is dat de waarde die aan de --workspace-optie wordt meegegeven, niet wordt gesaneerd voordat deze wordt opgenomen in een shell-commandostring op het Windows-fallbackpad. Als een aanvaller de waarde van --workspace kan beïnvloeden en het fallbackpad wordt geactiveerd, kunnen shell-metatekens in die waarde ervoor zorgen dat willekeurige besturingssysteemcommando's worden uitgevoerd met de rechten van de gebruiker die de CLI uitvoert.

Waarom dit belangrijk is

Succesvolle exploitatie maakt het mogelijk om willekeurige commando's uit te voeren met de rechten van de gebruiker die de @cyclonedx/cyclonedx-npm CLI draait. Volgens het feitenpakket kan dit leiden tot toegang tot data, wijziging van bestanden of verstoring van diensten. Omdat SBOM-generatietools vaak worden ingezet binnen build- of CI-pijplijnen, kan command injection in deze context geautomatiseerde omgevingen raken, vooral als externe input op enige wijze bij de --workspace-optie terecht kan komen.

Wie wordt getroffen

Gebruikers van het npm-pakket @cyclonedx/cyclonedx-npm op Windows zijn getroffen, specifiek in scenario's waarin de omgevingsvariabele npm_execpath het pad naar de npm CLI niet levert en de tool terugvalt op het alternatieve uitvoeringspad dat in het advies wordt beschreven. Exploitatie vereist dat een aanvaller invloed kan uitoefenen op de waarde die aan de --workspace-optie wordt meegegeven.

Getroffen versies

Alle versies van @cyclonedx/cyclonedx-npm vóór versie 6.0.0 zijn kwetsbaar, volgens het getroffen bereik in het advies (geïntroduceerd vanaf versie 0, verholpen in versie 6.0.0).

Fixes en mitigatie

Dit probleem is verholpen in @cyclonedx/cyclonedx-npm versie 6.0.0. Het beschikbare feitenpakket beschrijft geen andere mitigaties dan het uitvoeren van deze update.

Aanbevolen actie

Werk @cyclonedx/cyclonedx-npm bij naar versie 6.0.0 of hoger. Teams die de tool op Windows draaien, met name binnen geautomatiseerde build- of CI-pijplijnen, wordt aangeraden deze update prioriteit te geven en te controleren of niet-vertrouwde input via enige weg de --workspace-optie kan bereiken voordat de patch wordt toegepast.