Zuke : injection de commande lors du lancement de shims Windows

Veille sécuritéFrontend

P3Élevée

Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que `cmd.exe` réinterprétait. Dans une compilation Windows où un outil est résolu depuis `node_modules/.bin` et reçoit du texte contrôlé par un attaquant contenant certains métacaractères non protégés, une commande supplémentaire peut s’exécuter; mettre à jour vers 1.51.0 ou ultérieur, les plateformes POSIX n’étant pas concernées selon la description fournie.

IdentifiantCVE-2026-119288

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.51.0

Source : NVD — CVE-2026-119288

Analyse technique

Le problème concerne le lancement de shims `.cmd` et `.bat` via `cmd /c` et la réinterprétation de caractères tels que `&`, `|` ou `^` dans certaines entrées influençables.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30; cet événement tombe dans la période demandée. La mise à jour NVD du même jour est traitée comme un doublon de cette publication, et non comme une vulnérabilité distincte.

ImpactExécution possible d’une commande additionnelle dans le contexte de la compilation, avec accès potentiel aux identifiants disponibles dans cet environnement.

Versions affectées@zuke/core antérieur à 1.51.0; exécution sous Windows concernée

Version corrigée1.51.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.0

Publication2026-10-30T16:17:42.873Z

Mise à jour2026-10-30T19:18:20.430Z

Action recommandée

Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; examiner les processus de compilation Windows qui consomment des entrées non fiables.

Sources

NVD — CVE-2026-119288

Priorisation DFS : P3 · 1 source(s).