simple-gitにおける引数検証回避による任意のコマンド実行の脆弱性

Node.js用のGit操作ライブラリ「simple-git」において、危険なGitオプションの検証を回避される脆弱性が存在する。バージョン4.0.0未満に搭載されている保護プラグインは、オプション名を完全一致で比較していたが、Git自体が略称（例：--receive-packの省略形）を許容する仕様であるため、この検証をすり抜けることが可能である。これにより、攻撃者が操作した引数を通じて、Gitが任意のコマンドを呼び出す原因となる。