CVE-2026-9277

सारांश

shell-quote का `quote()` फ़ंक्शन ऑब्जेक्ट-टोकन इनपुट को `parse()` द्वारा उपयोग किए जाने वाले ऑपरेटर मॉडल के विरुद्ध मान्य नहीं करता था। `.op` फ़ील्ड को `/(.)/g` का उपयोग करके वर्ण-दर-वर्ण बैकस्लैश-एस्केप किया गया था, जो JavaScript में लाइन टर्मिनेटर (\n, \r, U+2028, U+2029) से मेल नहीं खाता। इसलिए `.op` में एक लाइन टर्मिनेटर बिना एस्केप हुए आउटपुट में पास हो जाता था; POSIX शेल एक शाब्दिक न्यूलाइन को कमांड सेपरेटर के रूप में मानते हैं, इसलिए उसके बाद की कोई भी सामग्री दूसरे कमांड के रूप में निष्पादित हो जाती। यह कमजोर कोड पथ दो तरीकों से पहुंच योग्य है: (1) बाहरी इनपुट से `{ op: '...\n...' }` का सीधा निर्माण, और (2) `parse(cmd, envFn)` के माध्यम से जब `envFn` ऑब्जेक्ट टोकन लौटाता है जिनका `.op` हमलावर-प्रभावित होता है। दोनों प्रलेखित API सतह हैं। प्रति-वर्ण एस्केप को सख्त आकार सत्यापन से बदलकर ठीक किया गया: `.op` को पार्सर की नियंत्रण-ऑपरेटर अनुमत सूची से मेल खाना चाहिए; `{ op: 'glob', pattern }` `pattern` को मान्य करता है और लाइन टर्मिनेटरों को प्रतिबंधित करता है; `{ comment }` `comment` को मान्य करता है और लाइन टर्मिनेटरों को प्रतिबंधित करता है; कोई भी अन्य ऑब्जेक्ट आकार `TypeError` फेंकता है।

• CVE-2026-9277PoC

  CVE-2026-9277 के लिए अवधारणा का प्रमाण शोषण, shell-quote लाइब्रेरी में एक कमांड इंजेक्शन भेद्यता। RCE ट्रिगर करने के लिए पुनरावर्ती JSON ट्रैवर्सल को कॉम्बिनेटरियल उत्परिवर्तन के साथ करता है, OOB सत्यापन और शून्य-शोर लॉगिंग का समर्थन करता है।