CVE-2026-49402

Deno bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. 2.7.10 sürümünden önce, Deno'nun node:child_process uygulaması; çağrıcılar spawn / spawnSync / exec ve benzerlerine shell: true parametresini ilettiğinde kullanılan bir escapeShellArg() yardımcı fonksiyonu sağlıyordu. Windows üzerinde bu yardımcı fonksiyon, cmd.exe meta karakterleri içeren bağımsız değişkenleri tırnak içine almaya çalışırken başarısız oluyor ve % işaretini etkisiz hale getirmiyordu (cmd.exe bunu çift tırnaklı dizgelerin içinde bile genişletir). Bu tür bir çağrıya iletilen bir bağımsız değişkenin herhangi bir kısmını kontrol eden bir saldırgan, başlatılan cmd.exe çağrısına rastgele ek komutlar enjekte edebilirdi. Bu güvenlik açığı 2.7.10 sürümünde giderilmiştir.