FICHE CVE

CVE-2026-73414

Publiée le 2026-08-12 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications utilisant la bibliothèque JavaScript Shescape sur Windows sont vulnérables si elles s'en servent pour assainir les arguments destinés au shell `cmd.exe`. Un attaquant peut fournir une entrée spécialement conçue contenant des parenthèses pour s'extraire de la commande prévue et exécuter du code arbitraire sur le système hôte. Cela peut être déclenché à distance via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.09.2 CRITIQUE

Type de faiblesse

Injection de commandes système · CWE-78 CWE-150

Publiée2026-08-12

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Shescape is a simple shell escape library for JavaScript. Prior to 2.1.14 and 3.0.1, getEscapeFunction in src/internal/win/cmd.js does not escape `(` and `)` when applications use the escape or escapeAll APIs on Windows with shell set to cmd.exe, or with shell set to true when CMD is the default. An attacker-controlled argument can break out of a parenthesized CMD construct and inject shell syntax depending on the original command, resulting in arbitrary command execution. This issue is fixed in versions 2.1.14 and 3.0.1.