PT-2026-141126
CVE-2026-63496
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
augment-vir الإصدارات السابقة لـ 31.73.5
Description
تقوم الدالة
grep() المصدرة بواسطة @augment-vir/node بإدراج أنماط بحث يتحكم فيها المستخدم مباشرة في سلسلة أمر shell محاطة بعلامات اقتباس مزدوجة دون تعقيم. عندما يتم تمرير هذا الأمر إلى الدالة spawn() مع تعيين shell على 'bash'، يقوم bash بتقييم تعبيرات استبدال الأوامر المضمنة في النمط، مما يؤدي إلى تنفيذ أوامر نظام تشغيل عشوائية بصلاحيات مستخدم عملية Node.js. أي تطبيق يمرر مدخلات غير موثوقة إلى حقل pattern أو patterns في الدالة grep() يكون عرضة لتنفيذ تعليمات برمجية محلياً (وربما عن بُعد) دون مصادقة.Recommendations
التحديث إلى الإصدار 31.73.5.
كإجراء تخفيف مؤقت، تجنب تمرير مدخلات غير موثوقة إلى حقول
pattern أو patterns في الدالة grep().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾