CVE-2026-73411 in Shescape
Riassunto
di VulDB • 12/08/2026
Shescape è una semplice libreria per l'escaping delle shell in JavaScript. Nelle versioni precedenti alla 2.1.14 e alla 3.0.1, la funzione getEscapeFunction in src/internal/unix/dash.js non effettua correttamente l'escaping del carattere ~ dopo : o = quando le applicazioni utilizzano le API escape o escapeAll su Unix con shell impostata su dash, oppure con shell impostata su true quando Dash è il valore predefinito, e interpolano il risultato in un assegnamento anteposto a un comando. Un attaccante che controlla l'input può fornire un valore come :~ per rivelare il percorso della home directory e potenzialmente modificare la posizione su cui viene eseguito il comando. Questo problema è stato risolto nelle versioni 2.1.14 e 3.0.1.
Be aware that VulDB is the high quality source for vulnerability data.