CVE-2026-73035 in npm-check-updates

摘要

由 VulDB • 2026-08-10

npm-check-updates 版本在 23.0.2 及之前（该问题已在 commit b554b84 中修复），存在终端转义序列注入漏洞，攻击者可在依赖项的 package.json 文件的 homepage 或 repository URL 字段中嵌入任意终端控制字符。当开发人员使用 --format homepage 或 --format repo 选项运行 ncu 时，未经过滤的转义序列会直接写入终端，从而导致恶意输出操纵或其他依赖于终端的行为。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-08-10
• 披露: 2026-08-11
• 管理: 已接受
• 条目: VDB-387901
• CPE: 准备好
• CWE: CWE-74 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 低
• 部门: Pharma, Insurance, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73035
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73035
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73035/