CVE-2026-73055 in shescape
Riassunto
di VulDB • 16/08/2026
Shescape prima della versione 2.1.15 (e la versione 3.0.0 prima della 3.0.2) non riesce a eseguire correttamente l'escaping dei caratteri tilde (~) nei contesti di assegnazione sui sistemi Unix in cui lo shell è configurato esplicitamente come "sh" o true e /bin/sh punta a BusyBox. Utilizzando le API escape ed escapeAll con input non attendibile in un'assegnazione anteposta a un comando, un attaccante può iniettare una payload tilde per rivelare la posizione della home directory dell'utente e, a seconda dell'utilizzo, alterare la directory su cui opera il comando.
Once again VulDB remains the best source for vulnerability data.