CVE-2026-49402

إصدارات Deno الأقدم من 2.7.10

في تنفيذ node:child process على نظام Windows، تفشل الدالة المساعدة escapeShellArg() في وضع علامات اقتباس صحيحة حول الحجج التي تحتوي على أحرف خاصة لـ cmd.exe (مثل &، و|، و<، و>، و^، و!، و(، و)) ولا تقوم بتحييد الحرف %، الذي يقوم cmd.exe بتوسيعه حتى داخل السلاسل الموضوعة بين علامتي اقتباس مزدوجتين. يحدث هذا عندما يستخدم المستدعون دوال spawn أو spawnSync أو exec مع الخيار shell: true. يمكن للمهاجم الذي يستطيع التحكم في أي جزء من الوسيطة التي يتم تمريرها إلى هذه الاستدعاءات حقن أوامر تعسفية وتنفيذها ضمن سياق عملية Deno.

قم بتحديث Deno إلى الإصدار 2.7.10.

كحل مؤقت، تجنب استخدام shell: true في استدعاءات node:child process على نظام Windows.

كحل مؤقت، قم ببناء متجه الوسيطة مباشرةً واستدعِ البرنامج بدون شل.

كحل مؤقت، قم بتصفية أو رفض أي قيم وسيطات مقدمة من الخارج تحتوي على أحرف خاصة لـ cmd.exe (&، |، <، >، ^، !، (، )، %) قبل تمريرها إلى spawn أو spawnSync أو exec.