Šta se desilo?

Projekat shell-quote je 29. septembra 2026. objavio advisory za CVE-2026-102422. Propust omogućava ubacivanje sistemskih komandi kada aplikacija na određeni način kombinuje tokene komentara i nepouzdan tekst u funkciji quote().

Koga pogađa?

Pogođen je npm paket shell-quote u verzijama od 1.8.4 do verzija pre 1.11.0. Eksploatacija zahteva da napadač kontroliše string sa znakom za završetak reda, da se taj string nalazi posle tokena { comment } u istom pozivu i da aplikacija rezultat izvrši u komandnom interpreteru. Sama instalacija paketa ne dokazuje praktičnu izloženost.

Kako se zaštititi?

  • Ažurirajte paket na 1.11.0 ili noviju verziju koja uključuje ispravku.
  • Proverite direktne i posredne zavisnosti i zaključane verzije u projektu.
  • Pregledajte tok korisničkog unosa do funkcija koje pokreću sistemske komande. Gde je moguće, koristite procesne API-je bez komandnog interpretera.
  • Testirajte obradu nevalidnog unosa nakon ažuriranja, uključujući novouvedene izuzetke.

Tehnički detalji

Tekst posle tokena komentara može sadržati završetak reda koji prekida komentar i omogućava tumačenje narednog sadržaja kao komande. Verzija 1.11.0 odbacuje takav unos uz TypeError. Ovo je različit propust od CVE-2026-9277, čija je ranija ispravka objavljena u 1.8.4.

Proizvođačev advisory daje CVSS 3.1 ocenu 8,1 (High). CNA harborist u CVE zapisu navodi CVSS 4.0 baznu ocenu 9,2 (Critical). Ocene potiču iz različitih verzija metodologije; polje CVSS u ovoj vesti prati proizvođačevu ocenu 8,1. U pregledanim izvorima nije potvrđena aktivna eksploatacija.

Zašto je važno?

Biblioteka može biti posredna zavisnost, pa pregled samo glavnog spiska paketa nije dovoljan. Rizik zavisi od stvarnog toka podataka i načina izvršavanja komandi u aplikaciji.

Preporuka Sajber Radara

Proverite instalirane verzije i nadogradite na izdanje sa potvrđenom ispravkom. Ne smatrajte 1.8.4 dovoljnom zaštitom od CVE-2026-102422.