CVE-2026-73055
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Shescape przed wersją 2.1.15 (oraz 3.0.0 przed 3.0.2) nieprawidłowo escapuje znaki tyldy (~) w kontekstach przypisań na systemach Unix, gdzie powłoka jest jawnie skonfigurowana jako "sh" lub true, a /bin/sh wskazuje na BusyBox. Używając API escape i escapeAll z niezaufanym wejściem w przypisaniu poprzedzającym komendę, atakujący może wstrzyknąć ładunek tyldy, aby ujawnić lokalizację katalogu domowego użytkownika i, w zależności od użycia, zmienić lokalizację, na której działa komenda.
Ocena ryzyka
Ryzyko ujawnienia informacji o ścieżkach domowych użytkowników oraz potencjalna modyfikacja działania komend, co może prowadzić do nieautoryzowanego dostępu lub manipulacji plikami.
Rekomendacja
Zaktualizuj Shescape do wersji 2.1.15 lub 3.0.2 (lub nowszej), która zawiera poprawkę. Unikaj używania Shescape z niezaufanym wejściem w kontekstach przypisań, dopóki nie zaktualizujesz.
Oryginalny opis (angielski, źródło NVD)
Shescape before 2.1.15 (and 3.0.0 before 3.0.2) fails to properly escape tilde (~) characters in assignment contexts on Unix systems where the shell is explicitly configured to "sh" or true and /bin/sh points to BusyBox. Using the escape and escapeAll APIs with untrusted input in an assignment prefixed to a command, an attacker can inject a tilde payload to disclose the user's home directory location and, depending on usage, alter the location on which a command operates.