CVE-2026-32260
Təsvir
Deno JavaScript, TypeScript və WebAssembly mühitidir (runtime). 2.7.0 versiyasından 2.7.1 versiyasına qədər Deno-nun node:child_process polifillində (shell: true rejimi) CVE-2026-27190 üçün tətbiq edilmiş düzəlişi yan keçən əmr inyeksiyası zəifliyi mövcuddur. transformDenoShellCommand (ext/node/polyfills/internal/child_process.ts) funksiyasındakı iki mərhələli arqument təmizləmə prosesində prioritet xətası var: arqument $VAR şablonunu ehtiva etdikdə, o, tək dırnaqlar əvəzinə cüt dırnaqlara alınır (L1290). POSIX sh-da cüt dırnaqlar geri dırnaqla (backtick) edilən əmr əvəzetməsini dayandırmır və bu da inyeksiya edilmiş əmrlərin icrasına şərait yaradır. spawnSync və ya shell: true ilə spawn funksiyalarına ötürülən arqumentləri idarə edən hücumçu, Deno-nun icazə sistemini yan keçərək ixtiyari ƏS əmrlərini icra edə bilər. Bu zəiflik 2.7.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- deno deno2.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| deno deno | 2.7.0 ≤ v < 2.7.2 | 2.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.