CVE-2026-73412

Shescape to prosta biblioteka do escapowania powłoki dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, getEscapeFunction w src/internal/win/cmd.js nie escapuje znaków `(` i `)`, gdy aplikacje używają API escape lub escapeAll na Windows z powłoką ustawioną na cmd.exe, lub z powłoką ustawioną na true, gdy CMD jest domyślny. Argument kontrolowany przez atakującego może wyrwać się z konstrukcji CMD w nawiasach i wstrzyknąć składnię powłoki w zależności od oryginalnego polecenia, co prowadzi do wykonania dowolnego polecenia. Problem naprawiono w wersjach 2.1.14 i 3.0.1.

Shescape przed wersją 2.1.15 (oraz 3.0.0 przed 3.0.2) nieprawidłowo escapuje znaki tyldy (~) w kontekstach przypisań na systemach Unix, gdzie powłoka jest jawnie skonfigurowana jako "sh" lub true, a /bin/sh wskazuje na BusyBox. Używając API escape i escapeAll z niezaufanym wejściem w przypisaniu poprzedzającym komendę, atakujący może wstrzyknąć ładunek tyldy, aby ujawnić lokalizację katalogu domowego użytkownika i, w zależności od użycia, zmienić lokalizację, na której działa komenda.

Shescape, biblioteka do escapowania powłoki dla JavaScript, w wersjach od 2.1.11 do 2.1.14 oraz 3.0.1, ma problem z wydajnością w pętli ochrony flag w funkcji compose. Przetwarzanie danych wejściowych o dużym rozmiarze zawierających wiele fragmentów flag staje się kwadratowe, co może prowadzić do przeciążenia CPU i odmowy usługi.

Shescape to prosta biblioteka do escapowania dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, funkcja getEscapeFunction w src/internal/unix/dash.js nie escapuje znaku ~ po : lub =, gdy aplikacje używają API escape lub escapeAll na Unixie z shellem ustawionym na dash, lub z shellem ustawionym na true, gdy Dash jest domyślny, i interpolują wynik do przypisania poprzedzającego polecenie. Atakujący kontrolujący dane wejściowe może dostarczyć wartość taką jak :~, aby ujawnić ścieżkę katalogu domowego i może zmienić lokalizację, na której działa polecenie. Problem został naprawiony w wersjach 2.1.14 i 3.0.1.

Shescape to prosta biblioteka do ucieczki ze shella dla JavaScript. Atakujący może uzyskać dostęp tylko do odczytu zmiennych środowiskowych. Błąd został naprawiony w wersji 1.7.1.