CVE-2026-73411
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Shescape to prosta biblioteka do escapowania dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, funkcja getEscapeFunction w src/internal/unix/dash.js nie escapuje znaku ~ po : lub =, gdy aplikacje używają API escape lub escapeAll na Unixie z shellem ustawionym na dash, lub z shellem ustawionym na true, gdy Dash jest domyślny, i interpolują wynik do przypisania poprzedzającego polecenie. Atakujący kontrolujący dane wejściowe może dostarczyć wartość taką jak :~, aby ujawnić ścieżkę katalogu domowego i może zmienić lokalizację, na której działa polecenie. Problem został naprawiony w wersjach 2.1.14 i 3.0.1.
Ocena ryzyka
Ryzyko obejmuje ujawnienie ścieżki katalogu domowego oraz możliwość zmiany lokalizacji działania polecenia, co może prowadzić do nieautoryzowanego dostępu do danych lub manipulacji.
Rekomendacja
Zaleca się aktualizację biblioteki Shescape do wersji 2.1.14 lub 3.0.1, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Shescape is a simple shell escape library for JavaScript. Prior to 2.1.14 and 3.0.1, getEscapeFunction in src/internal/unix/dash.js fails to escape ~ after : or = when applications use the escape or escapeAll APIs on Unix with shell set to dash, or with shell set to true when Dash is the default, and interpolate the result into an assignment prefixed to a command. An attacker who controls the input can supply a value such as :~ to disclose the home-directory path and may change the location on which the command operates. This issue is fixed in versions 2.1.14 and 3.0.1.