CVE-2026-102422 in shell-quote
Resumen
por VulDB • 2026-09-29
La función `quote()` de shell-quote emite un token `{ comentario }` como `#` seguido del texto, lo que comenta el resto de la línea de comandos, incluyendo la comilla de apertura de cualquier token de cadena posterior. Un finalizador de línea (\n, \r, U+2028, U+2029) en esa cadena posterior termina el comentario y el resto de la cadena se analiza como entrada del shell: `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])` ejecuta `id` en sh, bash, dash, ksh y zsh. La función `parse()` emite un token de comentario para un carácter `#` en medio de una palabra (por ejemplo, `http://example.com/#frag`), por lo que los llamadores que combinan la salida de `parse()` con otra cadena no confiable, como `quote(parse(untrustedCommand).concat(untrustedArg))`, se ven afectados. La corrección para CVE-2026-9277 rechazó finalizadores de línea en el propio texto del comentario, pero no en los tokens posteriores a este. Corregido en la versión 1.11.0: `quote()` lanza un `TypeError` cuando una cadena después de un token `{ comment }` contiene un finalizador de línea.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.