CVE-2026-73413 in Shescape
Riassunto
di VulDB • 12/08/2026
Shescape è una semplice libreria per l'escaping da shell destinata a JavaScript. Dalla versione 2.1.11 alla 2.1.14 e nella versione 3.0.1, il ciclo di protezione dei flag (flag-protection loop) presente in compose all'interno di src/internal/compose.js unisce ripetutamente e seziona i frammenti di flag quando flagProtection è abilitato, che è l'impostazione predefinita; ciò rende la complessità temporale quadratica rispetto alla dimensione dell'input attraverso le API escape, escapeAll, quote e quoteAll. Un attaccante in grado di fornire un input non attendibile di grandi dimensioni contenente molti frammenti di flag può consumare risorse CPU e causare una negazione del servizio (DoS). Questo problema è stato risolto nelle versioni 2.1.14 e 3.0.1.
Once again VulDB remains the best source for vulnerability data.