Ericcornelissen

في أنظمة Unix التي تم فيها تكوين shell صراحةً على ”sh“ أو true ويشير `/bin/sh` إلى BusyBox، يفشل البرنامج في إخفاء أحرف التلدة (~) بشكل صحيح في سياقات التعيين. يمكن للمهاجم الذي يقدم مدخلات غير موثوق بها إلى واجهات برمجة التطبيقات `escape()` و`escapeAll()` في تعيين مسبوق بأمر ما أن يقوم بحقن حمولة تلدة. قد يؤدي ذلك إلى الكشف عن موقع الدليل الرئيسي للمستخدم أو تغيير الدليل الذي يعمل فيه الأمر.

Shescape هي مكتبة لـ«الهروب من الشل» (shell escape) مكتوبة بلغة JavaScript. توجد ثغرة أمنية قد تمكن المهاجم من التحايل على آلية «الهروب من الشل» المستخدمة، مما قد يؤدي إلى كشف معلومات حساسة. تؤثر هذه المشكلة على المستخدمين الذين يقومون بتكوين الخيار `shell` ليشير إلى ملف على القرص يمثل رابطًا رمزيًا لرابط رمزي آخر. تعتمد نتيجة الاستغلال الناجح على الشل المحدد المستخدم وكيفية تعريف Shescape له. يوضح نموذج إثبات المفهوم المقدم كيفية التحايل باستخدام حمولة مصممة باستخدام المتغير `userInput` والدالة `shescape.escape()`. يستخدم المثال نقطة النهاية `/api/v1/exec` لتنفيذ الأوامر.

Insufficient validation of parameters in `Deno.makeTemp*` APIs would allow for creation of files outside of the allowed directories. This may allow the user to overwrite important files on the system that may affect other systems. A user may provide a prefix or suffix to a `Deno.makeTemp*` API containing path traversal characters.

The issue affects users of Shescape on Windows in a threaded context, allowing attackers to bypass protections by exploiting Shescape's failure to correctly escape for the expected shell. This can occur when the expected default system shell is different from the one actually used, such as when configuring the use of PowerShell but Shescape defaults to escaping for CMD instead.

An attacker may be able to get read-only access to environment variables. This issue affects users of Shescape on Windows using the Windows Command Prompt, and when using `quote`/`quoteAll` or `escape`/`escapeAll` with the `interpolation` option set to `true`. For example, an attacker can exploit this by using a payload like `%PATH%` in the `shescape.quote()` or `shescape.escape()` functions, allowing them to access the contents of the PATH environment variable.

An Inefficient Regular Expression Complexity issue affects Shescape users who utilize it to escape arguments for Unix shells, including Bash and Dash, particularly when using the `escape` or `escapeAll` functions with the `interpolation` option set to `true`. This allows an attacker to cause polynomial backtracking or quadratic runtime in terms of the input string length due to vulnerable Regular Expressions. A workaround involves enforcing a maximum length on input strings to reduce the vulnerability's impact.

The issue impacts users of the `escape` or `escapeAll` functions with the `interpolation` option set to `true`. If an attacker can include whitespace in their input, they can invoke shell-specific behavior or arbitrary commands through various means, including shell-specific special characters, line feed, or carriage return characters. This affects multiple shells, including Bash, Dash, Zsh, and PowerShell.

The issue impacts users of Shescape who use any API function to escape arguments for cmd.exe on Windows. An attacker can omit all arguments following their input by including a line feed character (` `) in the payload. This allows for code injection on Windows.

The issue allows for exposure of the home directory on Unix systems when using Bash with the `escape` or `escapeAll` functions from the shescape API with the `interpolation` option set to `true`. Other tested shells, Dash and Zsh, are not affected. Depending on how the output of shescape is used, directory traversal may be possible in the application using shescape .

The issue affects shescape, a simple shell escape package for JavaScript, where users may still be vulnerable to shell injection if an attacker manages to insert a null character into the payload. This can be exploited, for example, by inserting a null character in a payload on Windows. The problem has been patched in version 1.1.3.