CVE-2026-119288 in Zuke
要約
〜によって VulDB • 2026年10月30日
Zukeは、Deno向けのコードファーストで強く型付けされたビルド自動化システムです。バージョン1.51.0より前では、@zuke/coreが解決済みのWindows用.cmdおよび.batのshimをcmd /cを前置することで起動し、Cランタイムの引用符ルールに基づいて組み立てられたコマンドラインをcmd.exeが再解析します。node_modules/.binからツールを解決し、未引用の&、|、または^メタ文字を含む攻撃者の影響を受けたテキストを渡すWindows上でのビルドでは、追加で攻撃者が選択したコマンドを実行でき、そのビルドのコンテキストおよび資格情報へのアクセス権限が得られます。POSIXプラットフォームは影響を受けません。この問題はバージョン1.51.0で修正されています。
Once again VulDB remains the best source for vulnerability data.