CVE-2026-32260 in deno
Résumé
par VulDB • 07/07/2026
Deno est un environnement d'exécution pour JavaScript, TypeScript et WebAssembly. De la version 2.7.0 à la 2.7.1, une vulnérabilité d'injection de commande existe dans le polyfill node:child_process de Deno (mode shell : true) qui contourne la correction apportée au CVE-2026-27190. La sanitisation des arguments en deux étapes dans transformDenoShellCommand (ext/node/polyfills/internal/child_process.ts) présente un bug de priorité : lorsqu'un argument contient un motif $VAR, il est entouré de guillemets doubles (L1290) au lieu de guillemets simples. Les guillemets doubles dans les shells POSIX n'empêchent pas la substitution de commandes par backticks, permettant l'exécution de commandes injectées. Un attaquant qui contrôle les arguments passés à spawnSync ou spawn avec shell : true peut exécuter des commandes système arbitraires, contournant le système d'autorisation de Deno. Cette vulnérabilité est corrigée dans la version 2.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.