JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-029078 RepomixはリポジトリをAIフレンドリーなファイルにパックするツールです。バージョン1.14.1以前のsrc/core/git/gitCommand.tsにあるexecGitShallowCloneは、--remote-branchの値を検証せず、また--end-of-optionsの指定も行わずに、直接git fetchおよびgit checkoutに渡していました。これにより、--upload-packなどのGitオプションがインジェクションされる可能性があり、validateGitUrl()の不十分なパラメータ検証を回避して、ローカルまたはSSHスタイルのトランスポートを通じて任意のコマンドが実行される恐れがありました。この問題はバージョン1.14.1で修正されています。 cpe:/a:yamadashy:repomix https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-029078.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49987 https://www.cve.org/CVERecord?id=CVE-2026-49987 National Vulnerability Database (NVD) CVE-2026-49987 https://nvd.nist.gov/vuln/detail/CVE-2026-49987 GitHub Command Injection (RCE) via `--remote-branch` Argument Injection Advisory yamadashy/repomix GitHub https://github.com/yamadashy/repomix/security/advisories/GHSA-9mm9-rqhj-j5mx JVNDB CWE-88 https://cwe.mitre.org/data/definitions/88.html 関連文書 Release v1.14.1 yamadashy/repomix GitHub https://github.com/yamadashy/repomix/releases/tag/v1.14.1 関連文書 fix(security): prevent argument injection via remote branch ref yamadashy/repomix@92bfa31 GitHub https://github.com/yamadashy/repomix/commit/92bfa3193b5233a0d21beff929444153c088de82 2026-08-20T10:17:06+09:00 2026-08-20T10:17:06+09:00