CVE-2026-73414
Açıklama
Shescape, JavaScript için basit bir shell escape kütüphanesidir. 2.1.14 ve 3.0.1 sürümlerinden önce, src/internal/win/cmd.js içindeki getEscapeFunction, uygulamalar Windows'ta shell cmd.exe olarak ayarlandığında veya CMD varsayılan olduğunda shell true olarak ayarlandığında escape veya escapeAll API'lerini kullandığında `(` ve `)` karakterlerini kaçırmaz. Saldırgan tarafından kontrol edilen bir argüman, parantez içine alınmış bir CMD yapısından çıkarak orijinal komuta bağlı olarak shell sözdizimi enjekte edebilir ve keyfi komut çalıştırma ile sonuçlanabilir. Bu sorun 2.1.14 ve 3.0.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- shescape2.1.14, 3.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shescapenpm | v < 2.1.14, 3.0.0 ≤ v < 3.0.1 | 2.1.14, 3.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.