Node --run POSIX positional argument escaping allows shell command injection

代码执行 / 操作系统命令注入 / #3817602

厂商

Node.js

严重程度

中危 · CVSS 8.1

赏金

—

弱点

操作系统命令注入

研究员

@yottt

披露日期

2026-06-23

资产

https://github.com/nodejs/node

CVE

—

该报告还没有中文解读。

Node.js `node --run <script> -- <args>` attempts to append positional arguments to a package script after escaping each argument for the shell.

node --run test -- "$user_controlled_pattern"