CVE-2026-73035
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
npm-check-updates do wersji 23.0.2 zawiera podatność na wstrzykiwanie sekwencji sterujących terminala, która pozwala atakującemu umieścić dowolne znaki sterujące w polach homepage lub repository w package.json zależności. Gdy programista uruchomi ncu z opcją --format homepage lub --format repo, nieprzefiltrowane sekwencje są wypisywane na terminal, co może prowadzić do manipulacji wyjściem lub innych efektów zależnych od terminala.
Ocena ryzyka
Ryzyko manipulacji terminalem programisty, co może prowadzić do oszustw wizualnych lub wykonania złośliwych poleceń w terminalu.
Rekomendacja
Zaktualizuj npm-check-updates do wersji po 23.0.2, która zawiera poprawkę (commit b554b84). Unikaj używania opcji --format homepage/repo z niezaufanymi pakietami.
Oryginalny opis (angielski, źródło NVD)
npm-check-updates through 23.0.2, fixed in commit b554b84, contains a terminal escape sequence injection vulnerability that allows an attacker to embed arbitrary terminal control characters in a dependency's package.json homepage or repository URL fields. When a developer runs ncu with the --format homepage or --format repo option, unfiltered escape sequences are written directly to the terminal, enabling malicious output manipulation or other terminal-dependent effects.