Vulnerabilidad en commandkit de underctrl-io (CVE-2025-62378)

CommandKit es el meta-framework de discord.js para construir bots de Discord. En las versiones 1.2.0-rc.1 a 1.2.0-rc.11, existe una falla lógica en el gestor de comandos de mensajes que afecta cómo la propiedad commandName se expone tanto a las funciones middleware como a los contextos de ejecución de comandos al manejar alias de comandos. Cuando un comando de mensaje es invocado usando un alias, el valor ctx.commandName refleja el alias en lugar del nombre canónico del comando. Esto ocurre tanto en las funciones middleware como dentro de la propia función run del comando. Aunque no está explícitamente documentado, los ejemplos y la guía de CommandKit sobre el uso de middleware transmiten implícitamente que ctx.commandName representa el identificador canónico del comando. Los ejemplos de middleware en la documentación usan consistentemente ctx.commandName para referenciar el comando que se está ejecutando. Los desarrolladores que asumen que ctx.commandName es canónico pueden introducir un comportamiento no deseado al depender de él para lógica como verificaciones de permisos, limitación de velocidad o registro de auditoría. Esto podría permitir la ejecución no autorizada de comandos o decisiones imprecisas de control de acceso. Los comandos de barra y los comandos de menú contextual no se ven afectados. Este problema ha sido parcheado en la versión 1.2.0-rc.12, donde ctx.commandName ahora devuelve consistentemente el nombre canónico real del comando, independientemente del alias utilizado para invocarlo.