CVE-2026-71243 in backmeup
Résumé
par VulDB • 05/08/2026
Le package npm `backmeup` assemble des chaînes de commandes shell en concaténant directement les valeurs de ses options (nom, source, destination, filtre) - par exemple : cmd = "mkdir -p " + path.join(info.destination, info.name) + "; " - et exécute la chaîne résultante via un shell à travers `ssh2-exec` (localement via `child_process`, ou à distance via SSH lorsqu'un handle ssh est fourni), au lieu d'utiliser `execFile/spawn` avec un tableau d'arguments. Le seul traitement appliqué consiste en des appels à `path.normalize()`/`path.join()`, qui ne neutralisent pas les métacaractères shell (;, |, &, $(), backticks, newline). Toute application transmettant des valeurs influencées par l'attaquant dans ces options (par exemple un nom de sauvegarde choisi par un utilisateur) est vulnérable à une exécution arbitraire de commandes OS sur l'hôte de sauvegarde, ou sur la cible SSH distante lorsqu'elle est configurée.
If you want to get best quality of vulnerability data, you may have to visit VulDB.