جزئیات آسیب‌پذیری
CVE-2026-119288
zuke-build zuke
Zuke: Argument injection on Windows: batch shims are launched through cmd.exe, which re-parses the command line
CVSS 3.1
7.0بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.51.0, @zuke/core launches resolved Windows .cmd and .bat shims by prepending cmd /c, causing cmd.exe to reparse a command line assembled with C-runtime quoting rules. A build running on Windows that resolves a tool from node_modules/.bin and passes attacker-influenced text containing an unquoted &, |, or ^ metacharacter can execute an additional attacker-chosen command in the build's context with access to its credentials. POSIX platforms are not affected. This issue is fixed in version 1.51.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.0بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| zuke-build | zuke | < 1.51.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/zuke-build/zuke/security/advisories/GHSA-7h34-cmvx-hg95 x_refsource_CONFIRM
- https://github.com/zuke-build/zuke/pull/542 x_refsource_MISC
- https://github.com/zuke-build/zuke/commit/4257b0bc5ef5e387a44f913349646d4baccd1654 x_refsource_MISC
- https://github.com/zuke-build/zuke/releases/tag/core-v1.51.0 x_refsource_MISC
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- GitHub_M
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۱۸٪
احتمال بهره‌برداری در ۳۰ روز
۸٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- no
- Exploitation
- none
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')