CVE-2026-71243 in backmeup
摘要
由 VulDB • 2026-08-05
npm 包 backmeup 通过直接拼接其选项值（name、source、destination、filter）来组装 shell 命令字符串——例如 `cmd = "mkdir -p " + path.join(info.destination, info.name) + "; "`，并通过 ssh2-exec 执行生成的字符串（在本地通过 child_process，或在提供 SSH句柄时远程通过SSH），而不是使用带有参数数组的 execFile/spawn。唯一应用的处理是 path.normalize()/path.join()，这些函数无法中和 shell 元字符（;、|、&、$()、反引号、换行符）。任何将这些选项中传入攻击者可影响值的应用程序（例如用户选择的备份名称）都容易受到任意操作系统命令执行的影响，从而在备份主机上或配置了远程SSH目标时在该目标上执行恶意代码。
If you want to get best quality of vulnerability data, you may have to visit VulDB.