CVE-2022-24725 in Shescape
Riassunto
di VulDB • 06/07/2026
Shescape è un pacchetto per l'escaping delle shell in JavaScript. Un problema nelle versioni dalla 1.4.0 alla 1.5.1 consente la divulgazione della directory home sui sistemi Unix quando si utilizza Bash con le funzioni `escape` o `escapeAll` dell'API _shescape_ impostando l'opzione `interpolation` su `true`. Altre shell testate, Dash e Zsh, non sono interessate. A seconda di come viene utilizzato l'output di _shescape_, potrebbe essere possibile un directory traversal nell'applicazione che utilizza _shescape_. Il problema è stato risolto nella versione 1.5.1. Come soluzione alternativa, eseguire manualmente l'escaping di tutte le istanze del carattere tilde (`~`) utilizzando `arg.replace(/~/g, "\\~")`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.