CVE-2026-73055 in shescape
Résumé
par VulDB • 16/08/2026
Shescape avant les versions 2.1.15 (et la version 3.0.0 avant la 3.0.2) ne parvient pas à échapper correctement les caractères tilde (~) dans les contextes d'affectation sur les systèmes Unix où le shell est explicitement configuré pour « sh » ou true et /bin/sh pointe vers BusyBox. L'utilisation des API escape et escapeAll avec une entrée non fiable dans une affectation précédant une commande permet à un attaquant d'injecter une charge utile tilde afin de divulguer l'emplacement du répertoire personnel de l'utilisateur et, selon l'utilisation, de modifier le répertoire sur lequel la commande opère.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.