CVE-2026-82584— npm Ignite 确认提示中终端转义序列注入漏洞
一分钟漏洞结论
影响对象
ash-project igniter
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
ash-project 的 igniter 中存在“转义、元字符或控制序列未正确中和”的漏洞，恶意包发布者借此伪造 的确认提示。 在添加包之前会打印一个确认面板（一种防止拼写仿冒的安全机制），列出该包的十六进制元数据。Igniter.Project.Deps 中的面板构建器在将发布者可控的字段（ 、所有者用户名、依赖项名称、版本号）写入终端时，仅去除了换行符。恶意或拼写仿冒的包可以在其元数据中嵌入 ANSI 终端转义序列（光标移动、清行、回车等），从而覆盖面板内容：伪造可信的作者名和下载量，同时隐藏真实信息。依赖该
可能的 ATT&CK 技术 1 AI
T1565 · Data Manipulation
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82584 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Terminal escape sequence injection in the mix igniter.install confirmation prompt via package metadata
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in ash-project igniter allows a malicious package publisher to forge the mix igniter.install confirmation prompt.
mix igniter.install prints a confirmation panel (an anti-typosquatting safeguard) listing a package's hex metadata before adding it. The panel builder in Igniter.Project.Deps wrote publisher-controlled fields (meta.description, owner usernames, requirement names, version) to the terminal with only newlines stripped. A malicious or typosquatted package can embed ANSI terminal escape sequences (cursor movement, line erase, carriage returns) in its metadata to overwrite the panel, forging trusted author names and download counts while concealing the real ones, so a developer relying on the panel to vet the package is deceived into approving a malicious dependency.
This issue affects igniter: from 0.8.1 before 0.8.4.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
转义、元或控制序列转义处理不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| ash-project | igniter | 0.8.1 ~ 0.8.4 |
cpe:2.3:a:ash-project:igniter:*:*:*:*:*:*:*:*
|
|
| ash-project | igniter | d26d9b3a8348661813617606076315075d32663b ~ d492b1aa33f8fb0dacc0afa41b703fb922d42816 |
cpe:2.3:a:ash-project:igniter:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-82584 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82584 的情报信息
请登录查看更多情报信息。
CVE-2026-82584 补丁与修复 (1)
CVE-2026-82584 厂商安全公告 (1)
CVE-2026-82584 厂商页面 (1)
-
🔗 CVE-2026-82584 related
CVE-2026-82584 其他参考 (1)
同批安全公告 · ash-project · 2026-09-07 · 共 9 条
| CVE-2026-82753 | 8.2 HIGH | ash_authentication_oauth2_server 无认证请求导致未认证请求 |
| CVE-2026-82586 | 8.2 HIGH | AshLua 读操作绕过字段白名单 |
| CVE-2026-82755 | 6.3 MEDIUM | ash_authentication_oauth2_server 跨租户混淆漏洞 |
| CVE-2026-82758 | 6.3 MEDIUM | OAuth2服务器空密钥验证缺陷 |
| CVE-2026-82754 | 6.3 MEDIUM | ash_oauth2 服务端 .well-known 访问控制绕过漏洞 |
| CVE-2026-82757 | 6.3 MEDIUM | Ash OAuth2服务器将站点本地地址误判为公网，允许SSRF |
| CVE-2026-82756 | 6.3 MEDIUM | Ash认证服务WWW-Authenticate请求头参数注入漏洞 |
| CVE-2026-81638 | 2.1 LOW | ash_double_entry 非规范ULID别名接受漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-82584
暂无评论