CVE-2026-9277

Resumo

A função `quote()` do shell-quote não validava entradas de token-objeto contra o modelo de operador usado por `parse()`. O campo `.op` era escapado com barra invertida caractere por caractere usando `/(.)/g`, que em JavaScript não corresponde a terminadores de linha (\n, \r, U+2028, U+2029). Um terminador de linha em `.op` passava, portanto, sem escape para a saída; shells POSIX tratam uma nova linha literal como separador de comandos, então qualquer conteúdo após ela seria executado como um segundo comando. O caminho de código vulnerável é alcançável de duas formas: (1) construção direta de `{ op: '...\n...' }` a partir de entrada externa, e (2) via `parse(cmd, envFn)` quando `envFn` retorna tokens-objeto cujo `.op` é influenciado pelo atacante. Ambas são superfícies de API documentadas. Corrigido substituindo o escape por caractere por validação estrita de formato: `.op` deve corresponder à lista de permissões de operadores de controle do parser; `{ op: 'glob', pattern }` valida `pattern` e proíbe terminadores de linha; `{ comment }` valida `comment` e proíbe terminadores de linha; qualquer outro formato de objeto lança `TypeError`.

• CVE-2026-9277PoC

  Exploit de prova de conceito para CVE-2026-9277, uma vulnerabilidade de injeção de comandos na biblioteca shell-quote. Realiza travessia JSON recursiva com mutação combinatória para acionar RCE, suportando verificação OOB e registro sem ruído.