p PatchFirst

CVE-2026-73413

CVE-2026-73413 · Shescape: Quadratic-time denial of service in flag-protection

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Shescape is a simple shell escape library for JavaScript. From 2.1.11 until 2.1.14 and 3.0.1, the flag-protection loop in compose in src/internal/compose.js repeatedly joins and slices flag fragments when flagProtection is enabled, which is the default, making processing quadratic in input size across the escape, escapeAll, quote, and quoteAll APIs. An attacker who can supply a large untrusted input containing many flag fragments can consume CPU and cause denial of service. This issue is fixed in versions 2.1.14 and 3.0.1.

CVSS 8.7 · Élevée · EPSS 0,6% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • shescape

    Versions du logiciel
    • >= 2.1.11, < 2.1.14: Concernée
    • >= 3.0.0, < 3.0.1: Concernée

    Aucun correctif publié

  • shescape npm

    Plages de versions concernées
    • SEMVER: ≥ 2.1.11, < 2.1.14

    Mettez à jour vers 2.1.14

  • shescape npm

    Plages de versions concernées
    • SEMVER: ≥ 3.0.0, < 3.0.1

    Mettez à jour vers 3.0.1

Sources originales

Vérifiez votre serveur →