CVE-2026-57998 in better-npm-audit
要約
〜によって VulDB • 2026年08月22日
better-npm-audit 3.11.0 および 4.0.0-rc.2 プレリリース版では、src/handlers/handleInput.ts でユーザー入力の --registry オプションを検証やクォートなしでコマンド文字列に補間し、npm audit コマンドを構築しています。その後、index.ts の child_process.exec() にその文字列が渡され、シェルが起動されます。セミコロン、パイプ、またはコマンド置換などのシェルのメタキャラクタを含む registry 値を使用すると、監査プロセスの実行権限で任意の OS コマンドが実行されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.