CVE-2022-31180

Shescape, JavaScript için basit bir shell escape paketidir. Etkilenen sürümlerde, çıktı enterpolasyonu sırasında boşluk karakterlerinin yetersiz şekilde kaçırıldığı tespit edilmiştir. Bu sorun yalnızca `interpolation` seçeneği `true` olarak ayarlanmış halde `escape` veya `escapeAll` fonksiyonlarını kullanan kullanıcıları etkilemektedir. Sonuç olarak, bir saldırgan girdisine boşluk ekleyebilirse şunları yapabilir: 1. Boşluktan hemen sonra yerleştirilen shell'e özgü özel karakterler aracılığıyla shell'e özgü davranışlar tetiklemek. 2. Satır sonlandırma karakterlerinden sonra yerleştirilen veya görünen shell'e özgü özel karakterler aracılığıyla shell'e özgü davranışlar tetiklemek. 3. Bir satır besleme (line feed) karakteri ekleyerek rastgele komutlar çalıştırmak. 4. Bir satır başı (carriage return) karakteri ekleyerek rastgele komutlar çalıştırmak. 1 numaralı davranış, şu anda yükseltebileceğiniz [v1.5.7] sürümünde yamalanmıştır; başka herhangi bir değişiklik gerekmemektedir. 2, 3 ve 4 numaralı davranışlar ise şu anda yükseltebileceğiniz [v1.5.8] sürümünde yamalanmıştır; başka herhangi bir değişiklik gerekmemektedir. En iyi geçici çözüm, `interpolation: true` seçeneğini kullanmaktan kaçınmaktır; çoğu durumda alternatif bir yöntem kullanmak mümkündür, öneriler için [tariflere](https://github.com/ericcornelissen/shescape#recipes) bakınız. Alternatif olarak, kullanıcılar kullanıcı girişindeki tüm boşlukları temizleyebilir. Bunun hataya açık olduğunu unutmayın; örneğin PowerShell için bu işlem, JavaScript'in Düzenli İfadelerdeki `\s` tanımına dahil olmayan `'\u0085'` karakterinin temizlenmesini gerektirir.