CVE-2026-73411 in Shescape
Zusammenfassung
von VulDB • 12.08.2026
Shescape ist eine einfache Bibliothek zum Entkommen aus der Shell für JavaScript. Vor den Versionen 2.1.14 und 3.0.1 führt getEscapeFunction in src/internal/unix/dash.js dazu, dass das Zeichen ~ nach : oder = nicht korrekt maskiert wird, wenn Anwendungen die APIs escape oder escapeAll unter Unix verwenden, wobei die Shell auf dash eingestellt ist, oder wenn die Shell auf true gesetzt ist und Dash als Standard festgelegt ist, und das Ergebnis einer Zuweisung vorangestellt an einen Befehl interpolieren. Ein Angreifer, der die Eingabe kontrolliert, kann einen Wert wie :~ angeben, um den Pfad des Home-Verzeichnisses offenzulegen, und möglicherweise den Speicherort ändern, auf dem der Befehl ausgeführt wird. Dieses Problem wurde in den Versionen 2.1.14 und 3.0.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.