cveboard Feed RSS

CVE-2026-102422

GitHubCrítica, npm

shell-quote: injeção de comando `quote()` via um terminador de linha em um token após um token { comment }

Traduzido automaticamente do inglês.

quote() emite um token { comment } como # seguido pelo seu texto, que comenta o resto da linha do shell, incluindo a aspa de abertura de qualquer token de string posterior. Um terminador de linha nessa string posterior encerra o comentário, e o resto da string é analisado como entrada do shell:

Sem exploração conhecida
Gravidade
Crítica, CVSS 9.2 (v4.0)
EPSS
0,38% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados