CVE-2022-24725 in Shescape
要約
〜によって VulDB • 2026年07月30日
ShescapeはJavaScript用のシェルエスケープパッケージです。バージョン1.4.0から1.5.1には、UnixシステムにおいてBashを使用し、`shescape` APIの`escape`または`escapeAll`関数に`interpolation`オプションを`true`に設定して呼び出すと、ホームディレクトリが露出する問題があります。他のテスト対象となったシェル（DashおよびZsh）は影響を受けません。_shescape_ の出力の使用状況によっては、_shescape_ を使用するアプリケーションでディレクトリトラバーサルが可能になる場合があります。この問題はバージョン1.5.1で修正されました。回避策として、`arg.replace(/~/g, "\\~")`を使用してチルダ文字（`~`）のすべてのインスタンスを手動でエスケープしてください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.