p PatchFirst

CVE-2026-9277

CVE-2026-9277 · shell-quote `quote()` does not validate object-token shapes, allowing command injection via line terminators in `.op`

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

shell-quote's `quote()` function did not validate object-token inputs against the operator model used by `parse()`. The `.op` field was backslash-escaped character by character using `/(.)/g`, which in JavaScript does not match line terminators (\n, \r, U+2028, U+2029). A line terminator in `.op` therefore passed through unescaped into the output; POSIX shells treat a literal newline as a command separator, so any content after it would execute as a second command. The vulnerable code path is reachable in two ways: (1) direct construction of `{ op: '...\n...' }` from external input, and (2) via `parse(cmd, envFn)` when `envFn` returns object tokens whose `.op` is attacker-influenced. Both are documented API surface. Fixed by replacing the per-character escape with strict shape validation: `.op` must match the parser's control-operator allowlist; `{ op: 'glob', pattern }` validates `pattern` and forbids line terminators; `{ comment }` validates `comment` and forbids line terminators; any other object shape throws `TypeError`.

CVSS 9.2 · Критический · EPSS 0,8% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • shell-quote

    Версии
    • ≥ 1.1.0, < 1.8.4: Затронуто (semver)

    Обновитесь до 1.8.4

  • node-shell-quote Debian:12

    Версии
    • 1.7.4+~1.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.4+~1.7.1-1+deb12u1

    Обновитесь до 1.7.4+~1.7.1-1+deb12u1

  • node-shell-quote Debian:13

    Версии
    • 1.7.4+~1.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.4+~1.7.1-1+deb13u1

    Обновитесь до 1.7.4+~1.7.1-1+deb13u1

  • node-shell-quote Debian:14

    Версии
    • 1.7.4+~1.7.1-1
    • 1.7.4+~1.7.1-2
    • 1.8.3+~1.7.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.8.4+~1.7.5-1

    Обновитесь до 1.8.4+~1.7.5-1

  • shell-quote npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 1.1.0, < 1.8.4

    Обновитесь до 1.8.4

  • node-shell-quote Ubuntu:Pro:18.04:LTS

    Версии
    • 1.6.1+20160617-git72fb5a8ce29b-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.6.1+20160617-git72fb5a8ce29b-1ubuntu0.1~esm1

    Обновитесь до 1.6.1+20160617-git72fb5a8ce29b-1ubuntu0.1~esm1

  • node-shell-quote Ubuntu:Pro:22.04:LTS

    Версии
    • 1.7.3+~1.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.3+~1.7.1-1ubuntu0.1~esm1

    Обновитесь до 1.7.3+~1.7.1-1ubuntu0.1~esm1

  • node-shell-quote Ubuntu:24.04:LTS

    Версии
    • 1.7.4+~1.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.4+~1.7.1-1ubuntu0.24.04.1

    Обновитесь до 1.7.4+~1.7.1-1ubuntu0.24.04.1

  • node-shell-quote Ubuntu:25.10

    Версии
    • 1.7.4+~1.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.7.4+~1.7.1-1ubuntu0.25.10.1

    Обновитесь до 1.7.4+~1.7.1-1ubuntu0.25.10.1

  • node-shell-quote Ubuntu:26.10

    Версии
    • 1.8.3+~1.7.5-1
    • 1.9.0+~1.7.5-1
    • 1.10.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-shell-quote Ubuntu:Pro:26.04:LTS

    Версии
    • 1.7.4+~1.7.1-1
    • 1.8.3+~1.7.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.8.3+~1.7.5-1ubuntu0.1~esm1

    Обновитесь до 1.8.3+~1.7.5-1ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →