Intel

CVE-2026-9277

Red Hat Security Advisory: Red Hat Quay 3.15.6

criticalEPSS 0.9 %

Beschreibung

Die Funktion `quote()` von shell-quote validierte Eingaben für Objekt-Token nicht gegen das Operator-Modell, das von `parse()` verwendet wird. Das Feld `.op` wurde zeichenweise mit `/(.)/g` backslash-escaped, was in JavaScript keine Zeilenumbrüche (\n, \r, U+2028, U+2029) erfasst. Ein Zeilenumbruch im Feld `.op` gelangte daher unescaped in die Ausgabe; POSIX-Shells behandeln einen wörtlichen Zeilenumbruch als Befehlsempfänger, sodass jeglicher Inhalt danach als zweiter Befehl ausgeführt würde. Der anfällige Codepfad ist auf zwei Arten erreichbar: (1) direkte Konstruktion von `{ op: '...\n...' }` aus externer Eingabe und (2) über `parse(cmd, envFn)` wenn `envFn` Objekt-Token zurückgibt, deren `.op` vom Angreifer beeinflusst wird. Beide sind dokumentierte API-Oberflächen. Die Korrektur erfolgte durch Ersetzung des zeichenweisen Escapings mit strenger Formvalidierung: Das Feld `.op` muss dem Kontroll-Operator-Allowlist des Parsers entsprechen; `{ op: 'glob', pattern }` validiert `pattern` und verbietet Zeilenumbrüche; `{ comment }` validiert `comment` und verbietet Zeilenumbrüche; jede andere Objektform wirft einen `TypeError`.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFOSVREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFDEBIAN_DSAREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFUBUNTU_USNREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFEUVDCVELISTV5NVDCVEORG

Metriken

Severity
critical
Priority-Score
132.50
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.2
Quelle: nvd-v4
CVSS v3
8.1
CVSS v4
9.2
EPSS-Perzentil
56.0 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.9 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-07-21 13:53 UTC
CWE
CWE-78, CWE-77

Weakness-Klassen (CWE)

  • CWE-78Base

    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

    The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

    cwe.mitre.org →

  • CWE-77Class

    Improper Neutralization of Special Elements used in a Command ('Command Injection')

    The product constructs all or part of a command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended command when it is sent to a downstream component.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-10 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/9xxx/CVE-2026-9277.json">CVE-2026-9277</a>
  2. CVE Modified2026-09-09 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/9xxx/CVE-2026-9277.json">CVE-2026-9277</a>
  3. CVE Modified2026-09-07 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/9xxx/CVE-2026-9277.json">CVE-2026-9277</a>
  4. CVE Modified2026-08-31 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/9xxx/CVE-2026-9277.json">CVE-2026-9277</a>
  5. CVE Modified2026-08-27 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/9xxx/CVE-2026-9277.json">CVE-2026-9277</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:56854
    • Reference: https://access.redhat.com/errata/RHSA-2026:56912

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • dpkp

    kafka-python2.3.2

  • go

    golang.org/x/crypto

  • golang

    crypto0.52.0

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    net0.55.0

  • IBM

    MQAppliance <10.0.0.5

  • IBM

    MQAppliance <9.4.0.26

  • IBM

    MQAppliance <9.4.5.3

  • npm

    sanitize-html2.17.3

  • npm

    shell-quote1.1.0

  • prometheus

    prometheus2.48.0 – 3.5.3

  • prometheus

    prometheus3.6.0 – 3.11.3

Quellen & Referenzen

Verknüpfte CVEs

3 weitere CVEs anzeigen
IDCVE-2026-9277