製品・ソフトウェアに関する情報
Vulnerability Search
Deno Land Inc.のDenoにおけるOS コマンドインジェクションの脆弱性
Title Deno Land Inc.のDenoにおけるOS コマンドインジェクションの脆弱性
Summary

DenoはJavaScript、TypeScript、およびWebAssemblyのランタイムです。バージョン2.7.10未満のDenoのnode:child_process実装では、spawn / spawnSync / execなどにshell: trueを渡した際に使用されるescapeShellArg()ヘルパーが提供されていました。Windows環境において、このヘルパーはcmd.exeのメタ文字を含む引数を正しく引用符で囲まず、さらに%（cmd.exeがダブルクオート内でも展開する）を無効化しませんでした。攻撃者がこれらの呼び出しに渡される引数の一部を制御できた場合、生成されるcmd.exeの呼び出しに任意の追加コマンドを挿入することが可能でした。この脆弱性はバージョン2.7.10で修正されています。

Possible impacts ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 23, 2026, midnight
Registration Date June 29, 2026, 11:14 a.m.
Last Update June 29, 2026, 11:14 a.m.
CVSS3.0 : 重要
Score 8.1
Vector CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月29日]
  掲載		 June 29, 2026, 11:14 a.m.
NVD Vulnerability Information
CVE-2026-49402
Summary

Deno is a JavaScript, TypeScript, and WebAssembly runtime. Prior to 2.7.10, Deno's node:child_process implementation provided an escapeShellArg() helper used when callers passed shell: true to spawn / spawnSync / exec and friends. On Windows, the helper failed to quote arguments that contained cmd.exe metacharacters and did not neutralize % (which cmd.exe expands even inside double-quoted strings). An attacker who controlled any portion of an argument passed to such a call could inject arbitrary additional commands into the spawned cmd.exe invocation. This vulnerability is fixed in 2.7.10.

Publication Date June 24, 2026, 3:18 a.m.
Registration Date June 27, 2026, 4:14 a.m.
Last Update June 27, 2026, 2:33 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:deno:deno:*:*:*:*:*:*:*:* 2.7.10
Configuration2 or higher or less more than less than
Related information, measures and tools
Common Vulnerabilities List