9.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Deno versions 2.7.0 through 2.9.7 on Windows contain a command injection vulnerability in node:child_process where shell arguments are escaped for the wrong shell type. Attackers can inject OS commands by passing untrusted arguments with the shell option, allowing arbitrary command execution with Deno process privileges.
Засегнати продукти
- denoland deno: 2.7.0 до 2.9.7
Вид слабост
История
- 30 септември 2026 Публикувано
Други уязвимости в denoland deno
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-103473
- https://nvd.nist.gov/vuln/detail/CVE-2026-103473
- https://github.com/denoland/deno/pull/36772
- https://github.com/denoland/deno
- https://github.com/denoland/deno/blob/0c071246a412575e07423263404a5d13e7ed6aa2/ext/node/polyfills/internal/child_process.ts#L1499
- https://github.com/denoland/deno/blob/0c071246a412575e07423263404a5d13e7ed6aa2/ext/node/polyfills/internal/child_process.ts#L1339
- https://www.vulncheck.com/advisories/deno-2.7.0-through-2.9.7-command-injection-via-node-child-process