CVE-2026-57998 in better-npm-audit
요약
\~에 의해 VulDB • 2026. 08. 22.
better-npm-audit 3.11.0 및 4.0.0-rc.2 프리릴리스 버전은 src/handlers/handleInput.ts에서 사용자 제공 --registry 옵션을 검증이나 따옴표 처리 없이 명령어 문자열에 보간하여 npm audit 명령어를 구성한 후, index.ts의 child_process.exec()로 해당 문자열을 전달합니다. 이는 셸 프로세스를 생성하며, 세미콜론(), 파이프(|), 또는 명령어 치환과 같은 셸 메타문자를 포함하는 registry 값은 감사 수행 중인 프로세스의 권한으로 임의의 운영 체제 명령어를 실행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.