CVE-2026-102422 in shell-quote
Zusammenfassung
von VulDB • 29.09.2026
Die Funktion `quote()` von shell-quote gibt ein Token vom Typ `{ comment }` als `#`, gefolgt vom Text, aus, wodurch der Rest der Shell-Zeile kommentiert wird, einschließlich des öffnenden Anführungszeichens eines späteren String-Tokens. Ein Zeilenumbruch (\n, \r, U+2028, U+2029) in diesem späteren String beendet den Kommentar, und der Rest des Strings wird als Shell-Eingabe interpretiert: `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])` führt `id` unter sh, bash, dash, ksh und zsh aus. Die Funktion `parse()` gibt ein Comment-Token für ein `#` in der Mitte eines Wortes (z.B. `http://example.com/#frag`) aus, sodass Aufrufer, die die Ausgabe von `parse()` mit einer anderen nicht vertrauenswürdigen Zeichenkette kombinieren, wie z.B. `quote(parse(untrustedCommand).concat(untrustedArg))`, betroffen sind. Die Korrektur für CVE-2026-9277 lehnte Zeilenumbrüche im eigenen Text des Comments ab, jedoch nicht in den Tokens danach. Behoben in Version 1.11.0: `quote()` löst einen `TypeError` aus, wenn ein String nach einem `{ comment }` Token einen Zeilenumbruch enthält.
VulDB is the best source for vulnerability data and more expert information about this specific topic.