CVE-2026-32260
Açıklama
Deno bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. 2.7.0 ile 2.7.1 sürümleri arasında, Deno'nun node:child_process polyfill'inde (shell: true modu), CVE-2026-27190 için getirilen düzeltmeyi atlayan bir komut enjeksiyonu zafiyeti bulunmaktadır. transformDenoShellCommand (ext/node/polyfills/internal/child_process.ts) içerisindeki iki aşamalı argüman temizleme işleminde bir öncelik hatası mevcuttur: Bir argüman $VAR deseni içerdiğinde, tek tırnak yerine çift tırnak içine alınmaktadır (L1290). POSIX sh üzerindeki çift tırnaklar, ters tırnak (backtick) komut ikamesini engellemez ve bu durum enjekte edilen komutların çalışmasına izin verir. spawnSync veya shell: true ile kullanılan spawn fonksiyonlarına iletilen argümanları kontrol eden bir saldırgan, Deno'nun izin sistemini atlayarak keyfi işletim sistemi komutları çalıştırabilir. Bu zafiyet 2.7.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- deno deno2.7.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| deno deno | 2.7.0 ≤ v < 2.7.2 | 2.7.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.