CVE-2026-73414
KrytyczneCVSS 9.2Streszczenie
Shescape to prosta biblioteka do escapowania powłoki dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, getEscapeFunction w src/internal/win/cmd.js nie escapuje znaków `(` i `)`, gdy aplikacje używają API escape lub escapeAll na Windows z powłoką ustawioną na cmd.exe, lub z powłoką ustawioną na true, gdy CMD jest domyślny. Argument kontrolowany przez atakującego może wyrwać się z konstrukcji CMD w nawiasach i wstrzyknąć składnię powłoki w zależności od oryginalnego polecenia, co prowadzi do wykonania dowolnego polecenia. Problem naprawiono w wersjach 2.1.14 i 3.0.1.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia w systemie Windows, co może prowadzić do pełnej kompromitacji systemu i naruszenia bezpieczeństwa danych.
Rekomendacja
Zaktualizuj Shescape do wersji 2.1.14 lub 3.0.1 (lub nowszej), która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Shescape is a simple shell escape library for JavaScript. Prior to 2.1.14 and 3.0.1, getEscapeFunction in src/internal/win/cmd.js does not escape `(` and `)` when applications use the escape or escapeAll APIs on Windows with shell set to cmd.exe, or with shell set to true when CMD is the default. An attacker-controlled argument can break out of a parenthesized CMD construct and inject shell syntax depending on the original command, resulting in arbitrary command execution. This issue is fixed in versions 2.1.14 and 3.0.1.