Më 6 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-pqg4-j6r4-53mv (CVE-2026-102422) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën shell-quote të ekosistemit npm.
Paketat e prekura
- shell-quote (npm) — versionet e prekura:
>= 1.8.4, < 1.11.0; versioni me rregullim:1.11.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-78 (Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection'))
- Identifikuesit: GHSA-pqg4-j6r4-53mv, CVE-2026-102422
Përmbledhja zyrtare
citati i guaskës: `citoj()` injektimi i komandës nëpërmjet një terminatori të linjës në një token pas një tokeni `{ comment }` — Citimi i ndikimit () lëshon një token { comment } siç ndiqet nga teksti i saj, i cili komenton pjesën tjetër të linjës së guaskës, duke përfshirë citimin e hapjes së çdo tokeni të mëvonshëm të vargut. Një terminator i linjës në atë varg të mëvonshëm përfundon komentin, dhe pjesa tjetër e vargut analizohet si hyrje e guaskës: Kalohet në sh , bash , dash , ksh ose zsh , kjo ekzekuton id . analiza () lëshon një shenjë komenti për një në mes të…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin shell-quote, përditësojeni sa më shpejt në versionin 1.11.0 ose më të ri.
