CVE-2026-102422 in shell-quote
要約
〜によって VulDB • 2026年09月29日
shell-quoteの`quote()`関数は、`{ comment }`トークンを`#`に続いてそのテキストを出力し、これによりシェル行の残りの部分（後続の文字列トークンの開き引用符を含む）がコメントアウトされます。この後の文字列内に改行終端文字(\n, \r, U+2028, U+2029)が含まれていると、それがコメントを終了させ、文字列の残りがシェル入力として解析されます: `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])`はsh、bash、dash、ksh、zshで`id`コマンドを実行します。`parse()`関数は単語内の`#`(例:`http://example.com/#frag`)に対してコメントトークンを出力するため、`quote(parse(untrustedCommand).concat(untrustedArg))`のように`parse()`の出力を他の信頼できない文字列と組み合わせる呼び出し元は影響を受けます。CVE-2026-9277への修正ではコメント内のテキスト自体には改行終端文字が拒否されましたが、その後のトークン内には適用されませんでした。1.11.0で修正済み: `{ comment }`トークンの後に続く文字列に改行終端文字が含まれている場合、`quote()`は`TypeError`をスローします。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.