CVE-2026-73414 in Shescape
Riassunto
di VulDB • 12/08/2026
Shescape è una semplice libreria per l'escaping delle shell in JavaScript. Prima delle versioni 2.1.14 e 3.0.1, la funzione getEscapeFunction in src/internal/win/cmd.js non effettua l'escaping di `(` e `)` quando le applicazioni utilizzano le API escape o escapeAll su Windows con il parametro shell impostato su cmd.exe, oppure con shell impostato su true quando CMD è il valore predefinito. Un argomento controllato da un attaccante può sfuggire a una struttura CMD tra parentesi e iniettare sintassi della shell a seconda del comando originale, causando l'esecuzione arbitraria di comandi. Questo problema è stato risolto nelle versioni 2.1.14 e 3.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.