p PatchFirst

CVE-2025-24959

CVE-2025-24959 · Environment Variable Injection for dotenv API in zx

CVSS 1.0 · Низкий · EPSS 0,2% · Есть исправление

Затронуты ли вы?

  • zxНет опубликованного исправления
  • zx npmОбновитесь до 8.3.2
  • node-zx Ubuntu 24.04 LTSНет опубликованного исправления
  • node-zx Ubuntu 25.10Нет опубликованного исправления
  • и ещё 2

Как узнать установленную версию:

npm ls zx
dpkg-query -W -f='${source:Package} ${binary:Package} ${Version}\n' | awk '$1=="node-zx"'

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания zx и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

zx is a tool for writing better scripts. An attacker with control over environment variable values can inject unintended environment variables into `process.env`. This can lead to arbitrary command execution or unexpected behavior in applications that rely on environment variables for security-sensitive operations. Applications that process untrusted input and pass it through `dotenv.stringify` are particularly vulnerable. This issue has been patched in version 8.3.2. Users should immediately upgrade to this version to mitigate the vulnerability. If upgrading is not feasible, users can mitigate the vulnerability by sanitizing user-controlled environment variable values before passing them to `dotenv.stringify`. Specifically, avoid using `"`, `'`, and backticks in values, or enforce strict validation of environment variables before usage.

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • zx

    Версии
    • >= 8.3.0, < 8.3.2: Затронуто

    Нет опубликованного исправления

  • zx npm

    Версии
    • 8.3.1
    Затронутые диапазоны версий
    • SEMVER: ≥ 8.3.1, < 8.3.2

    Обновитесь до 8.3.2

  • node-zx Ubuntu 24.04 LTS

    Версии
    • 7.1.1+~cs6.7.23-2
    • 7.1.1+~cs6.7.23-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-zx Ubuntu 25.10

    Версии
    • 7.1.1+~cs6.7.23-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-zx Ubuntu 26.10

    Версии
    • 7.1.1+~cs6.7.23-3
    • 7.1.1+~cs6.7.23-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-zx Ubuntu 26.04 LTS

    Версии
    • 7.1.1+~cs6.7.23-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →