CVE-2026-9277

Zusammenfassung

# Sicherheitslücke in shell-quote: `quote()` validiert Objekt-Token nicht gegen das Operator-Modell Die `quote()`-Funktion von shell-quote validierte Objekt-Token-Eingaben nicht gegen das Operator-Modell, das von `parse()` verwendet wird. Das `.op`-Feld wurde Zeichen für Zeichen mit `/(.)/g` mit Backslash maskiert, was in JavaScript keine Zeilenabschlusszeichen (\n, \r, U+2028, U+2029) abdeckt. Ein Zeilenabschlusszeichen in `.op` gelangte daher unescaped in die Ausgabe; POSIX-Shells behandeln einen wörtlichen Zeilenumbruch als Befehlsseparator, sodass jeglicher Inhalt danach als zweiter Befehl ausgeführt würde. Der verwundbare Codepfad ist auf zwei Arten erreichbar: (1) direkte Konstruktion von `{ op: '...\n...' }` aus externer Eingabe und (2) über `parse(cmd, envFn)`, wenn `envFn` Objekt-Token zurückgibt, deren `.op` vom Angreifer beeinflusst ist. Beides ist dokumentierte API-Oberfläche. Behoben durch Ersetzen der zeichenweisen Maskierung durch eine strikte Formvalidierung: `.op` muss der Kontrolloperator-Allowlist des Parsers entsprechen; `{ op: 'glob', pattern }` validiert `pattern` und verbietet Zeilenabschlusszeichen; `{ comment }` validiert `comment` und verbietet Zeilenabschlusszeichen; jede andere Objektform wirft einen `TypeError`.

• CVE-2026-9277PoC

  Proof-of-Concept-Exploit für CVE-2026-9277, eine Befehlsinjektions-Schwachstelle in der shell-quote-Bibliothek. Führt rekursive JSON-Traversierung mit kombinatorischer Mutation durch, um RCE auszulösen, unterstützt OOB-Verifizierung und Zero-Noise-Protokollierung.