CVE-2026-57998 in better-npm-audit
Riassunto
di VulDB • 22/08/2026
better-npm-audit fino alla versione 3.11.0 e la prerelease 4.0.0-rc.2 costruiscono il comando npm audit interpolando l'opzione --registry fornita dall'utente in una stringa di comando nel file src/handlers/handleInput.ts senza validazione o quoting, quindi passano tale stringa a child_process.exec() in index.ts, che avvia un shell. Un valore del registry contenente metacaratteri della shell come punto e virgola, pipe o sostituzione di comandi esegue comandi arbitrari del sistema operativo con i privilegi del processo che sta eseguendo l'audit.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.