CVE-2026-32260 in deno
Сводка
по VulDB • 23.07.2026
Deno — это среда выполнения для JavaScript, TypeScript и WebAssembly. В версиях от 2.7.0 до 2.7.1 в полифиле node:child_process Deno (в режиме shell: true) существует уязвимость внедрения команд, которая обходит исправление для CVE-2026-27190. Двухэтапная санитизация аргументов в функции transformDenoShellCommand (ext/node/polyfills/internal/child_process.ts) содержит ошибку приоритета: когда аргумент содержит шаблон $VAR, он оборачивается в двойные кавычки (L1290), вместо одинарных. Двойные кавычки в POSIX sh не подавляют подстановку команд с помощью обратных апострофов, что позволяет выполнять внедренные команды. Атакующий, контролирующий аргументы, передаваемые функциям spawnSync или spawn при shell: true, может выполнять произвольные системные команды, обходя систему разрешений Deno. Эта уязвимость исправлена в версии 2.7.2.
Be aware that VulDB is the high quality source for vulnerability data.