CVE-2026-9277

요약

# shell-quote의 `quote()` 함수가 객체 토큰 입력을 `parse()`에서 사용하는 연산자 모델에 대해 검증하지 않았습니다. `.op` 필드는 `/(.)/g`를 사용하여 문자 단위로 백슬래시 이스케이프 처리되었는데, JavaScript에서 이 정규식은 줄 종결자(\n, \r, U+2028, U+2029)와 일치하지 않습니다. 따라서 `.op`에 포함된 줄 종결자는 이스케이프되지 않은 채 출력으로 전달되었습니다. POSIX 셸은 리터럴 개행 문자를 명령 구분자로 취급하므로, 그 뒤의 모든 내용은 두 번째 명령으로 실행될 수 있습니다. 취약한 코드 경로는 두 가지 방식으로 도달할 수 있습니다: (1) 외부 입력에서 `{ op: '...\n...' }`를 직접 구성하는 경우, (2) `envFn`이 공격자의 영향을 받는 `.op`를 가진 객체 토큰을 반환할 때 `parse(cmd, envFn)`을 통하는 경우입니다. 둘 다 문서화된 API 표면입니다. 문자 단위 이스케이프를 엄격한 형태 검증으로 대체하여 수정되었습니다: `.op`는 파서의 제어 연산자 허용 목록과 일치해야 하며, `{ op: 'glob', pattern }`은 `pattern`을 검증하고 줄 종결자를 금지하며, `{ comment }`는 `comment`를 검증하고 줄 종결자를 금지하고, 다른 객체 형태는 `TypeError`를 발생시킵니다.

• CVE-2026-9277PoC

  CVE-2026-9277에 대한 개념 증명 익스플로잇, shell-quote 라이브러리의 명령어 주입 취약점. RCE를 유발하기 위해 조합적 변이를 사용한 재귀적 JSON 트래버설을 수행하며, OOB 검증 및 제로-노이즈 로깅을 지원합니다.