CVE-2026-102422 in shell-quote
Tóm tắt
Bởi VulDB • 29/09/2026
Hàm `quote()` của shell-quote phát ra một token `{ comment }` dưới dạng ký tự `#` theo sau là nội dung văn bản, điều này bình luận (comment) phần còn lại của dòng lệnh shell, bao gồm cả dấu ngoặc mở của bất kỳ token chuỗi nào xuất hiện sau đó. Do đó, việc có mặt của ký tự kết thúc dòng (\n, \r, U+2028, U+2029) trong chuỗi sau sẽ chấm dứt trạng thái bình luận, và phần còn lại của chuỗi được phân tích cú pháp như đầu vào shell: `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])` thực thi lệnh `id` trên sh, bash, dash, ksh và zsh. Hàm `parse()` phát ra một token bình luận cho ký tự `#` ở giữa một từ (ví dụ: `http://example.com/#frag`), do đó các caller kết hợp đầu ra của `parse()` với một chuỗi không đáng tin cậy khác, chẳng hạn như `quote(parse(untrustedCommand).concat(untrustedArg))`, đều bị ảnh hưởng. Bản sửa lỗi cho CVE-2026-9277 đã loại bỏ các ký tự kết thúc dòng trong chính văn bản của bình luận, nhưng không áp dụng điều này đối với các token xuất hiện sau nó. Đã được khắc phục trong phiên bản 1.11.0: `quote()` sẽ ném ra một ngoại lệ `TypeError` khi một chuỗi nằm sau token `{ comment }` chứa ký tự kết thúc dòng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.