CVE-2026-9277

概要

shell-quote の `quote()` 関数は、オブジェクトトークン入力を `parse()` で使用される演算子モデルに対して検証していませんでした。`.op` フィールドは `/(.)/g` を使用して文字単位でバックスラッシュエスケープされていましたが、JavaScript ではこの正規表現は行終端文字（\n、\r、U+2028、U+2029）にマッチしません。そのため、`.op` 内の行終端文字はエスケープされずに出力にそのまま渡されていました。POSIX シェルはリテラルの改行をコマンド区切り文字として扱うため、その後の内容は2番目のコマンドとして実行される可能性があります。この脆弱なコードパスには2つの方法で到達できます：(1) 外部入力から `{ op: '...\n...' }` を直接構築する方法、および (2) `envFn` が攻撃者の影響を受ける `.op` を持つオブジェクトトークンを返す場合に `parse(cmd, envFn)` を経由する方法です。どちらも文書化された API サーフェスです。修正は、文字単位のエスケープを厳密な形状検証に置き換えることで行われました：`.op` はパーサーの制御演算子許可リストに一致する必要があります。`{ op: 'glob', pattern }` は `pattern` を検証し、行終端文字を禁止します。`{ comment }` は `comment` を検証し、行終端文字を禁止します。その他のオブジェクト形状は `TypeError` をスローします。

• CVE-2026-9277PoC

  CVE-2026-9277の概念実証エクスプロイト。shell-quoteライブラリのコマンドインジェクション脆弱性です。再帰的なJSONトラバーサルと組み合わせ変異を実行してRCEをトリガーし、OOB検証とゼロノイズログをサポートします。