CVE-2021-42740

Versões do shell-quote anteriores à 1.7.3

A vulnerabilidade permite a injeção de comandos. Um invasor pode injetar metacaracteres de shell não escapados por meio de uma expressão regular projetada para suportar letras de unidade do Windows. Se a saída deste pacote for passada para um shell real como um argumento entre aspas para um comando com exec(), um invasor pode injetar comandos arbitrários. Isso ocorre porque a classe de caracteres da expressão regular para letras de unidade do Windows é [A-z] em vez da correta [A-Za-z]. Existem vários metacaracteres de shell no espaço entre a letra Z maiúscula e a letra a minúscula, como o caractere backtick.

Para versões anteriores à 1.7.3, atualize para a versão 1.7.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função exec() com a saída do pacote shell-quote até que um patch esteja disponível. Evite passar entradas não validadas para a função exec() para minimizar o risco de exploração.