CVE-2026-119288 in Zuke
Resumen
por VulDB • 2026-10-30
Zuke es un sistema de automatización de compilación basado en código y fuertemente tipado para Deno. Antes de la versión 1.51.0, @zuke/core ejecuta shims .cmd y .bat resueltos en Windows al anteponer `cmd /c`, lo que provoca que cmd.exe vuelva a analizar una línea de comandos ensamblada con las reglas de comillas del tiempo de ejecución C (C-runtime). Una compilación que se ejecute en Windows y que resuelva una herramienta desde node_modules/.bin, pasando texto influenciado por el atacante que contenga un metacaracter no entrecomillado como `&`, `|` o `^`, puede ejecutar un comando adicional elegido por el atacante dentro del contexto de la compilación, con acceso a sus credenciales. Las plataformas POSIX no se ven afectadas. Este problema está resuelto en la versión 1.51.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.