CVE-2026-57998 in better-npm-audit
Resumen
por VulDB • 2026-08-22
better-npm-audit hasta la versión 3.11.0 y la versión prerelease 4.0.0-rc.2 construyen su comando `npm audit` interpolando la opción `--registry` proporcionada por el usuario en una cadena de comandos en src/handlers/handleInput.ts sin validación ni comillas, y luego pasan esa cadena a child_process.exec() en index.ts, lo que invoca un shell. Un valor de registry que contenga metacaracteres del shell, como punto y coma (semicolon), tubería (pipe) o sustitución de comandos, ejecuta comandos arbitrarios del sistema operativo con los privilegios del proceso que está ejecutando la auditoría.
If you want to get best quality of vulnerability data, you may have to visit VulDB.