CVE-2026-57998 in better-npm-audit
الملخص
بحسب VulDB • 22/08/2026
better-npm-audit حتى الإصدار 3.11.0، وإصدار ما قبل الإطلاق (prerelease) 4.0.0-rc.2، يبني أمر npm audit عن طريق دمج خيار --registry الذي يقدمه المستخدم في سلسلة أوامر داخل src/handlers/handleInput.ts دون التحقق من صحته أو وضع علامات اقتباس حوله، ثم يمرر تلك السلسلة إلى child_process.exec() في index.ts، مما يؤدي إلى تشغيل قشرة النظام (shell). تحتوي قيمة registry التي تتضمن أحرف خاصة بالقشرة مثل الفاصلة المنقوطة (;)، أو علامة الأنبوب (|)، أو استبدال الأوامر على تنفيذ أوامر نظام التشغيل بشكل تعسفي بصلاحيات العملية التي تشغل عملية التدقيق.
If you want to get best quality of vulnerability data, you may have to visit VulDB.