CVE-2026-13311

إصدارات shell-quote الأقدم من 1.8.5

تقوم الدالة parse() بإنهاء معالجة الرموز التي تم تحليلها باستخدام Array.prototype.concat كمُجمِّع في عملية التخفيض (reduce)، مما يؤدي إلى إعادة تخصيص المصفوفة المتنامية بأكملها ونسخها خلال كل تكرار. وينتج عن ذلك تعقيد زمني من الدرجة الثانية بالنسبة لعدد الرموز المدخلة. يمكن للمهاجم الذي يقدم سلسلة نصية خاضعة للتحكم إلى أي مسار برمجي يستدعي parse() أن يعطل حلقة أحداث Node.js أحادية الخيط لفترة طويلة، مما يؤدي إلى رفض الخدمة. تؤثر هذه المشكلة على التوافر ولا تسمح بتنفيذ التعليمات البرمجية أو الكشف عن البيانات.

التحديث إلى الإصدار 1.8.5.