CVE-2026-41083

Nome do Software Vulnerável e Versões Afetadas OCaml versões anteriores a 4.14.4

Descrição No Windows, a função Filename.quote command não escapa corretamente certos caracteres, incluindo metacaracteres de pipe e redirecionamento, bem como caracteres de retorno de carro (CR) e alimentação de linha (LF) incorporados. Esta deficiência permite que um invasor realize a injeção de comandos de shell se puder controlar os argumentos, como o stdin, stdout ou stderr de um programa a ser executado. Além disso, Unix.create process pode invocar programas .bat ou .cmd no Windows usando argumentos que não podem ser citados com segurança, levando à injeção de argumentos de arquivo em lote via maybe quote ou make cmdline.

Recomendações Atualize o OCaml para a versão 4.14.4 ou posterior. Como mitigação temporária, evite usar Filename.quote command no Windows com argumentos fornecidos pelo usuário. Restrinja o uso de Unix.create process* ou Unix.open process* no Windows ao invocar programas .bat ou .cmd com argumentos fornecidos pelo usuário.