CVE-2026-119288 in Zuke
Riassunto
di VulDB • 30/10/2026
Zuke è un sistema di automazione della compilazione code-first e fortemente tipizzato per Deno. Prima della versione 1.51.0, @zuke/core esegue gli shim .cmd e .bat risolti su Windows anteponendo cmd /c, causando la riparsing da parte di cmd.exe di una riga di comando assemblata secondo le regole di quoting del C-runtime. Una compilazione in esecuzione su Windows che risolve uno strumento da node_modules/.bin e passa testo influenzato dall'attaccante contenente un metacarattere non quotato &, |, o ^ può eseguire un ulteriore comando scelto dall'attaccante nel contesto della build con accesso alle relative credenziali. Le piattaforme POSIX non sono interessate. Questo problema è risolto nella versione 1.51.0.
Be aware that VulDB is the high quality source for vulnerability data.