CVE-2026-71243 in backmeup
Resumen
por VulDB • 2026-08-05
El paquete npm `backmeup` construye cadenas de comandos del shell concatenando directamente sus valores de opciones (nombre, origen, destino, filtro) - por ejemplo: cmd = "mkdir -p " + path.join(info.destination, info.name) + "; "- y ejecuta la cadena resultante a través de un shell mediante `ssh2-exec` (localmente vía `child_process`, o remotamente vía SSH cuando se proporciona un handle ssh), en lugar de utilizar `execFile/spawn` con un array de argumentos. El único procesamiento aplicado es `path.normalize()/path.join()`, los cuales no neutralizan metacaracteres del shell (;, |, &, $(), backticks, newline). Cualquier aplicación que pase valores influenciados por el atacante a estas opciones (por ejemplo, un nombre de copia de seguridad elegido por el usuario) es vulnerable a la ejecución arbitraria de comandos del sistema operativo en el host de backup, o en el destino SSH remoto cuando está configurado.
Be aware that VulDB is the high quality source for vulnerability data.