CVE-2026-9277

ملخص

# ثغرة في دالة `quote()` في shell-quote لم تكن دالة `quote()` في shell-quote تتحقق من مدخلات رموز الكائنات (object tokens) وفقًا لنموذج العوامل (operator model) المستخدم في `parse()`. كان حقل `.op` يتم تخطي الشرطة المائلة العكسية (backslash-escape) حرفًا بحرف باستخدام `/(.)/g`، والذي لا يطابق في JavaScript محددات نهاية الأسطر (\n، \r، U+2028، U+2029). لذلك، كان محدد نهاية السطر في `.op` يمر دون تخطي إلى المخرجات؛ وتتعامل قذائف POSIX مع السطر الجديد الحرفي كفاصل أوامر، لذا فإن أي محتوى بعده سيُنفَّذ كأمر ثانٍ. يمكن الوصول إلى مسار الكود الضعيف بطريقتين: (1) البناء المباشر لـ `{ op: '...\n...' }` من مدخلات خارجية، و(2) عبر `parse(cmd, envFn)` عندما تُرجع `envFn` رموز كائنات يكون `.op` فيها متأثرًا بالمهاجم. كلاهما سطح API موثّق. تم الإصلاح باستبدال التخطي لكل حرف بالتحقق الصارم من الشكل: يجب أن يطابق `.op` قائمة السماح بعوامل التحكم الخاصة بالمحلل؛ و`{ op: 'glob', pattern }` يتحقق من `pattern` ويمنع محددات نهاية الأسطر؛ و`{ comment }` يتحقق من `comment` ويمنع محددات نهاية الأسطر؛ وأي شكل كائن آخر يرمي `TypeError`.

• CVE-2026-9277PoC

  استغلال إثبات المفهوم لـ CVE-2026-9277، ثغرة حقن أوامر في مكتبة shell-quote. يقوم باجتياز JSON تكراري مع طفرة اندماجية لتفعيل RCE، مع دعم التحقق خارج النطاق وتسجيل بدون ضوضاء.