CVE-2026-89116 Inyección de comandos del sistema en Yeoman-UI / Application Wizard Extension para VS Code
El código afectado usaba child_process.execSync con una cadena de shell para instalar y desinstalar generadores, lo que permitía ejecutar comandos del sistema con los privilegios del desarrollador manipulando el valor de configuración de workspace ApplicationWizard.installationLocation. Un repositorio de workspace malicioso podía incluir un settings.json que inyecta comandos al abrir el proyecto y disparar la instalación de un generador.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
SAP_SE SAP yeoman-ui
?1.25.1
Qué hacer
- Verificá si usás SAP yeoman-ui y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The affected code used child_process.execSync with a shell string for generator installation and uninstallation. This allowed an attacker to execute arbitrary OS commands with the developer's privileges by manipulating the ApplicationWizard.installationLocation VS Code workspace configuration value. Because the value was passed directly to the shell without sanitisation, a malicious workspace repository could craft a settings.json that injects OS commands when a developer opens the project and triggers a generator installation.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.