CVE-2026-22864: Deno: prevenção incompleta de injeção de comando no Windows, contorno por extensão sensível a maiúsculas e minúsculas
O Deno anterior à versão 2.5.6 tinha uma verificação destinada a impedir a execução de arquivos batch e shell do Windows com extensões .bat ou .cmd. A verificação diferencia maiúsculas de minúsculas, então variações de caixa podem contorná-la, e o registro informa que o problema está corrigido na 2.5.6.
Visão geral
O Deno é um runtime para JavaScript, TypeScript e WebAssembly. Um patch anterior tentou impedir a execução de arquivos batch ou shell do Windows rejeitando caminhos que terminam em .bat ou .cmd, mas a comparação diferencia maiúsculas de minúsculas, e por isso variações de caixa podem passar pela verificação. O registro informa que o problema está corrigido na 2.5.6.
Impacto
- O registro classifica a fraqueza como CWE-77 (Injeção de Comando).
- A NVD atribui pontuação base CVSS de 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. A entrada do GitHub pontua 8.1.
- Os campos SSVC do registro indicam status de exploração 'none', não automatizável e impacto técnico total.
Produtos e versões afetados
- O registro lista como afetadas as versões do Deno anteriores à 2.5.6, sob dois rótulos de produto (Deno Deno e Denoland Deno).
- A versão corrigida é a 2.5.6.
Status de exploração
O registro mostra que esta vulnerabilidade não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Um item referenciado está marcado como referência de exploit; seu conteúdo não foi analisado aqui.
Correção e mitigação
- Atualize o Deno para a 2.5.6 ou para uma versão posterior.
- Até a atualização, evite executar scripts não confiáveis que iniciem arquivos batch ou shell no Windows, e restrinja quais processos podem criar esses processos filhos.
- Não confie apenas em filtros baseados em extensão como controle para esta classe de problema.
Orientações de detecção
- Revise logs de aplicações e registros de criação de processos em hosts Windows que executam o Deno, procurando processos filhos iniciados como arquivos batch ou shell, com atenção a variações incomuns de caixa na extensão.
- Inventarie as instalações do Deno e compare suas versões com a versão corrigida.
Limitações das informações disponíveis
O campo estruturado de correções está vazio, então a versão corrigida foi obtida a partir da descrição e da referência de release. Detalhes da referência marcada como exploit, do caminho de código exato e de eventuais tentativas de exploração observadas não estão disponíveis neste registro.
Perguntas frequentes
Qual é a falha central do CVE-2026-22864?
Uma verificação destinada a bloquear arquivos batch e shell do Windows com extensões .bat ou .cmd diferencia maiúsculas de minúsculas, então uma variação como .BAT pode contorná-la.
Qual versão corrige o problema?
O registro informa que o problema está corrigido na 2.5.6, e as versões afetadas são as anteriores à 2.5.6.
Há exploração ativa conhecida?
O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.