CVE-2022-24725 in Shescape
Sumário
de VulDB • 06/07/2026
Shescape é um pacote de escape de shell para JavaScript. Uma vulnerabilidade nas versões 1.4.0 a 1.5.1 permite a exposição do diretório home em sistemas Unix ao utilizar o Bash com as funções `escape` ou `escapeAll` da API _shescape_ quando a opção `interpolation` está definida como `true`. Outros shells testados, Dash e Zsh, não são afetados. Dependendo de como a saída do _shescape_ é utilizada, pode ser possível realizar directory traversal na aplicação que utiliza o _shescape_. A vulnerabilidade foi corrigida na versão 1.5.1. Como medida paliativa (workaround), escape manualmente todas as instâncias do caractere til (`~`) utilizando `arg.replace(/~/g, "\\~")`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.