CVE-2021-42740
CVE-2021-42740
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
The shell-quote package before 1.7.3 for Node.js allows command injection. An attacker can inject unescaped shell metacharacters through a regex designed to support Windows drive letters. If the output of this package is passed to a real shell as a quoted argument to a command with exec(), an attacker can inject arbitrary commands. This is because the Windows drive letter regex character class is {A-z] instead of the correct {A-Za-z]. Several shell metacharacters exist in the space between capital letter Z and lower case letter a, such as the backtick character.
CVSS 9.8 · Critique · EPSS 4,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
n/a
- Versions du logiciel
- n/a: Concernée
Aucun correctif publié
node-shell-quote Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 1.7.3+~1.7.1-1
Mettez à jour vers 1.7.3+~1.7.1-1
node-shell-quote Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 1.7.3+~1.7.1-1
Mettez à jour vers 1.7.3+~1.7.1-1
node-shell-quote Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 1.7.3+~1.7.1-1
Mettez à jour vers 1.7.3+~1.7.1-1
shell-quote npm
- Plages de versions concernées
- SEMVER: ≥ 1.6.3, < 1.7.3
Mettez à jour vers 1.7.3
node-shell-quote Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 1.6.1+20160617-git72fb5a8ce29b-1
- 1.6.1+20160617-git72fb5a8ce29b-1ubuntu0.1~esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié