better-npm-audit OS命令注入漏洞(CVE-2026-57998)

better-npm-audit OS Command Injection via registry flag 漏洞概述 better-npm-audit 3.11.0 及 4.0.0-rc.2 预发布版本在构建 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 影响范围 better-npm-audit <= 3.11.0 better-npm-audit <= 4.0.0-rc.2 修复方案 暂无官方修复方案。建议用户避免使用受影响的版本，或等待官方发布修复版本。 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry 值，执行任意操作系统命令，且以运行审计进程的权限执行。 漏洞编号 CVE: CVE-2026-57998 CWE: CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CVSS: 8.5 CVSS v4 Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/NA:H/SC:N/SE:N/SA:N 参考链接 GitHub Issue #119 GitHub Source Code GitHub Source Code GitHub Source Code 漏洞详情 better-npm-audit 通过 3.11.0 和 4.0.0-rc.2 预发布版本，在构建其 npm audit 命令时，通过拼接用户提供的 选项到命令字符串中，存在操作系统命令注入漏洞。该漏洞允许攻击者通过构造包含 shell 元字符（如分号、管道或命令替换）的 registry

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

better-npm-audit OS命令注入漏洞(CVE-2026-57998)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

better-npm-audit OS命令注入漏洞(CVE-2026-57998)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！