Shescape has potential environment variable exposure on Windows with CMD
Impact
This impact users of Shescape on Windows that explicitly configure shell: 'cmd.exe' or shell: true using any of quote/quoteAll/escape/escapeAll.
An attacker may be able to get read-only access to environment variables. Example:
import * as cp from "node:child_process";
import { Shescape } from "shescape";
// 1. Prerequisites
const shescape = new Shescape({
shell: "cmd.exe",
// Or
shell: true, // Only if the default shell is CMD
});
// 2. Payload
const payload = '"%PATH%';
// 3. Usage
let escapedPayload;
escapedPayload = shescape.quote(payload);
// Or
escapedPayload = shescape.quoteAll([payload]);
// Or
escapedPayload = shescape.escape(payload);
// Or
escapedPayload = shescape.escapeAll([payload]);
// And (example)
const result = cp.execSync(`echo Hello ${escapedPayload}`, options);
// 4. Impact
console.log(result.toString());
// Outputs "Hello" followed by the contents of the PATH environment variableFor Shescape prior to v2.0.0, the options object must have shell: 'cmd.exe' or shell: undefined and interpolation: true.
Patches
This bug has been patched in v2.1.2 which you can upgrade to now.
If you are already using v2 of Shescape, no further changes are required. If you are using v1 of Shescape, follow the migration guide to upgrade to v2. There is no plan to release a patch compatible with v1 of Shescape.
Workarounds
Alternatively, users can remove all instances of % from user input before using Shescape.
References
For more information
- Comment on Pull Request #1916
- Comment on commit 0a81f1e
- Open an issue at https://github.com/ericcornelissen/shescape/issues (New issue > Question)
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | shescape | >= 1.7.2, < 2.1.2 | 2.1.2 |
Verweise
- https://github.com/ericcornelissen/shescape/security/advisories/GHSA-66pp-5p9w-q87j
- https://nvd.nist.gov/vuln/detail/CVE-2025-30222
- https://github.com/ericcornelissen/shescape/pull/1916
- https://github.com/ericcornelissen/shescape/commit/0a81f1eb077bab8caae283a2490cd7be9af179c6
- https://github.com/ericcornelissen/shescape
- https://github.com/ericcornelissen/shescape/releases/tag/v2.1.2
- CVSS-Vektor
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:U- Schwäche (CWE)
CWE-200- Plattform
- npm
- Paket
shescape- Veröffentlicht
- 26.03.2025
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-66pp-5p9w-q87j - CC BY 4.0
Schwachstellenhistorie: shescape
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 13
- Erste → letzte
- 03.2021 07.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 2
- Hoch 5
- Mittel 4
- Niedrig 2
Veröffentlichungen pro Jahr
- 2021: 1
- 2022: 4
- 2023: 2
- 2024: 0
- 2025: 1
- 2026: 5
-
Shescape has potential environment variable exposure on Windows with CMD dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.