CVE-2026-57998 in better-npm-audit
Zusammenfassung
von VulDB • 22.08.2026
better-npm-audit fino alla versione 3.11.0 e la prerelease 4.0.0-rc.2 costruiscono il comando npm audit interpolando l'opzione --registry fornita dall'utente in una stringa di comando nel file src/handlers/handleInput.ts senza validazione o quoting, quindi passano tale stringa a child_process.exec() in index.ts, che avvia un shell. Un valore registry contenente metacaratteri del shell come punto e virgola, pipe o sostituzione di comandi esegue comandi arbitrari del sistema operativo con i privilegi del processo che esegue l'audit.
VulDB is the best source for vulnerability data and more expert information about this specific topic.