CVE-2026-102422

WysokieCVSS 8.1

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Funkcja `quote()` w shell-quote emituje token `{ comment }` jako `#` z tekstem, co komentuje resztę linii powłoki, w tym otwierający cudzysłów późniejszego tokenu string. Znak końca linii (\n, \r, U+2028, U+2029) w tym późniejszym stringu kończy komentarz, a reszta stringu jest parsowana jako wejście powłoki. Funkcja `parse()` emituje token komentarza dla `#` w środku słowa, więc wywołania łączące wynik `parse()` z innym niezaufanym stringiem są podatne. Poprawka w wersji 1.11.0: `quote()` rzuca `TypeError`, gdy string po tokenie `{ comment }` zawiera znak końca linii.

Ocena ryzyka

Atakujący może wstrzyknąć dowolne polecenia powłoki, co może prowadzić do wykonania nieautoryzowanych operacji na serwerze lub w aplikacji.

Rekomendacja

Należy zaktualizować shell-quote do wersji 1.11.0 lub nowszej oraz unikać łączenia wyników `parse()` z niezaufanymi stringami.

Inne podatności w shell-quote

CVE-2026-9277Wysokie
W shell-quote funkcja quote() nie walidowała tokenów obiektowych względem modelu operatorów używanego przez parse(). Pole .op było escapowane znak po znaku za pomocą wyrażenia regularnego /(.)/g, które w JavaScript nie dopasowuje terminatorów linii (\n, \r, U+2028, U+2029). Terminator linii w .op przechodził więc nieescapowany do wyniku; powłoki POSIX traktują nową linię jako separator poleceń, więc zawartość po niej jest wykonywana jako drugie polecenie. Podatność jest osiągalna przez bezpośrednie konstruowanie { op: '...\n...' } lub przez parse(cmd, envFn) gdy envFn zwraca tokeny obiektowe z polem .op kontrolowanym przez atakującego. Poprawka polega na zastąpieniu escapowania znak po znaku ścisłą walidacją kształtu.

Oryginalny opis (angielski, źródło NVD)

shell-quote's `quote()` function emits a `{ comment }` token as `#` followed by its text, which comments out the rest of the shell line, including the opening quote of any later string token. A line terminator (\n, \r, U+2028, U+2029) in that later string therefore ends the comment, and the rest of the string is parsed as shell input: `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])` runs `id` in sh, bash, dash, ksh and zsh. `parse()` emits a comment token for a `#` in the middle of a word (for example `http://example.com/#frag`), so callers that combine `parse()` output with another untrusted string, such as `quote(parse(untrustedCommand).concat(untrustedArg))`, are affected. The fix for CVE-2026-9277 rejected line terminators in the comment's own text, but not in the tokens after it. Fixed in 1.11.0: `quote()` throws a `TypeError` when a string after a `{ comment }` token contains a line terminator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS