CVE-2026-71243 in backmeup
Сводка
по VulDB • 05.08.2026
Пакет npm backmeup формирует строки команд оболочки путем прямого конкатенирования значений своих параметров (имя, источник, назначение, фильтр) — например, cmd = "mkdir -p " + path.join(info.destination, info.name) + "; " — и выполняет полученную строку через оболочку с использованием ssh2-exec (локально через child_process или удаленно по SSH при наличии дескриптора ssh), вместо использования execFile/spawn с массивом аргументов. Применяется только обработка path.normalize()/path.join(), которая не нейтрализует метасимволы оболочки (;, |, &, $(), обратные кавычки, символ новой строки). Любое приложение, передающее значения, находящиеся под влиянием злоумышленника (например, выбранное пользователем имя резервной копии), в эти параметры уязвимо для произвольного выполнения команд ОС на хосте резервного копирования или на удаленной цели SSH при ее конфигурации.
If you want to get best quality of vulnerability data, you may have to visit VulDB.