CVE-2026-73414 in Shescape
Zusammenfassung
von VulDB • 12.08.2026
Shescape ist eine einfache Bibliothek zum Entkommen aus der Shell für JavaScript. Vor den Versionen 2.1.14 und 3.0.1 wird die Funktion `getEscapeFunction` in src/internal/win/cmd.js nicht korrekt escaped, wenn Anwendungen die APIs escape oder escapeAll unter Windows verwenden, wobei die Shell auf cmd.exe festgelegt ist oder die Shell auf true gesetzt ist, wenn CMD der Standardwert ist. Dabei werden die Zeichen `(` und `)` nicht ordnungsgemäß maskiert. Ein Angreifer kann ein kontrolliertes Argument nutzen, um aus einer geklammerten CMD-Konstruktion auszubrechen und je nach ursprünglichem Befehl Shell-Syntax einzufügen, was zu beliebiger Befehlsausführung führt. Dieses Problem wurde in den Versionen 2.1.14 und 3.0.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.