shescape 参数注入漏洞

漏洞信息详情

shescape是开源的一个用于JavaScript的简单外壳转义程序包。使用它可以将用户控制的输入转义给shell命令，以防止shell注入。

shescape before version 1.1.3 存在参数注入漏洞，攻击者可利用该漏洞将a插入有效负载中，则使用_Shescape_防御shell注入的任何人可能容易受到shell注入的攻击。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/ericcornelissen/shescape/commit/07a069a66423809cbedd61d980c11ca44a29ea2b

来源:MISC

链接:https://github.com/ericcornelissen/shescape/releases/tag/v1.1.3

来源:MISC

链接:https://www.npmjs.com/package/shescape

来源:MISC

链接:https://github.com/ericcornelissen/shescape/commit/07a069a66423809cbedd61d980c11ca44a29ea2b

来源:CONFIRM

链接:https://github.com/ericcornelissen/shescape/security/advisories/GHSA-f2rp-38vg-j3gh

来源:nvd.nist.gov

链接:https://nvd.nist.gov/vuln/detail/CVE-2021-21384

来源:vigilance.fr

链接:https://vigilance.fr/vulnerability/Node-js-shescape-code-execution-via-Command-Injection-34895

暂无