PT-2026-42766
CVE-2026-9277
·
تاريخ النشر
2026-05-22
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات shell-quote الأقدم من 1.8.4
الوصف
تفشل الدالة
quote() في التحقق من صحة مدخلات رموز الكائنات مقابل نموذج المشغل الذي تستخدمه الدالة parse(). وعلى وجه التحديد، يتم تجاوز الحقل .op باستخدام تعبير عادي لا يتطابق مع علامات نهاية السطر مثل وr وU+2028 وU+2029. وهذا يسمح لعلامات نهاية السطر بالمرور دون تجاوز إلى المخرجات. نظرًا لأن أصداف POSIX تعامل أحرف الأسطر الجديدة الحرفية كفواصل للأوامر، يتم تنفيذ أي محتوى يلي حرف الأسطر الجديدة كأمر منفصل، مما يؤدي إلى حقن الأوامر. يمكن الوصول إلى هذه المشكلة من خلال البناء المباشر لـ { op: ’... ...‘ } من مدخلات خارجية أو عبر parse(cmd, envFn) عندما تُرجع envFn رموز كائنات تحتوي على حقل .op متأثر بالمهاجم.التوصيات
قم بالتحديث إلى الإصدار 1.8.4 أو أحدث.
كحل مؤقت، قم بتقييد تأثير المدخلات الخارجية على حقل
.op في رموز الكائنات التي يتم تمريرها إلى دالة quote() أو التي تُرجعها envFn في دالة parse().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾