CVE-2026-71243 in backmeup
要約
〜によって VulDB • 2026年08月05日
npmパッケージbackmeupは、オプション値（name、source、destination、filter）を直接連結してシェルコマンド文字列を組み立てています。例えば `cmd = "mkdir -p " + path.join(info.destination, info.name) + "; "` のようにし、ssh2-execを通じて結果の文字列を実行します（ローカルではchild_process経由、SSHハンドルが提供された場合はリモートでSSH経由）。これは引数配列を使用してexecFile/spawnを呼び出すのではなく実行されます。適用される処理はpath.normalize()/path.join()のみであり、これらはシェルメタキャラクタ（;、|、&、$()、バッククォート、改行）を無力化しません。これらのオプションに攻撃者が影響を与えうる値（例：ユーザーが選択したバックアップ名など）を渡す任意のアプリケーションは、バックアップホスト上での任意のOSコマンド実行、または構成されている場合はリモートSSHターゲット上での任意のコマンド実行に対して脆弱です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.