CVE-2026-9277

shell-quote'un `quote()` fonksiyonu, object-token girdilerini `parse()` tarafından kullanılan operatör modeliyle doğrulamıyordu. `.op` alanı, JavaScript'te satır sonlandırıcılarla (\n, \r, U+2028, U+2029) eşleşmeyen `/(.)/g` kullanılarak karakter karakter ters eğik çizgi ile kaçışa uğratılıyordu. Bu nedenle, `.op` içindeki bir satır sonlandırıcı, çıktıya kaçış işlemi uygulanmadan aktarılıyordu; POSIX kabukları gerçek bir yeni satırı komut ayırıcı olarak kabul ettiğinden, ondan sonra gelen herhangi bir içerik ikinci bir komut olarak yürütülüyordu. Savunmasız kod yoluna iki şekilde erişilebiliyordu: (1) dış girdiden doğrudan `{ op: '...\n...' }` oluşturulması ve (2) `envFn` fonksiyonunun `.op` değeri saldırgan tarafından etkilenen object token'lar döndürdüğü durumlarda `parse(cmd, envFn)` aracılığıyla. Her ikisi de belgelenmiş API yüzeyleridir. Karakter bazlı kaçış işleminin, katı şekil doğrulamasıyla değiştirilmesiyle düzeltilmiştir: `.op` alanı ayrıştırıcının kontrol operatörü izin listesiyle eşleşmelidir; `{ op: 'glob', pattern }` ifadesi `pattern` değerini doğrular ve satır sonlandırıcıları yasaklar; `{ comment }` ifadesi `comment` değerini doğrular ve satır sonlandırıcıları yasaklar; diğer tüm nesne şekilleri ise `TypeError` fırlatır.