CVE-2026-27190: Deno: injeção de comandos em node:child_process por lista de bloqueio incompleta de metacaracteres de shell

Visão geral

O Deno é um runtime para JavaScript, TypeScript e WebAssembly. O registro descreve uma fraqueza de injeção de comandos na implementação node:child_process, que afeta versões anteriores à 2.6.8 e é classificada como CWE-78 (injeção de comandos no sistema operacional). O título do registro atribui a falha a uma lista de bloqueio incompleta de metacaracteres de shell, e há um commit de correção listado.

Impacto

O vetor base da NVD indica acesso pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. Em termos gerais, um caminho de entrada que chegue a um comando de shell inseguro poderia permitir que um atacante execute comandos do sistema operacional com os privilégios do processo Deno. Essa é uma inferência a partir da classificação e do vetor, não um resultado testado.

Produtos e versões afetadas

• Deno (entrada de produto Deno Deno): versões anteriores à 2.6.8.
• Denoland Deno (entrada de produto Denoland Deno): versões anteriores à 2.6.8.
• Versão corrigida: 2.6.8.

O registro lista os dois nomes de produto como entradas separadas com o mesmo limite de versão.

Status de exploração

O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nem exploração na natureza nas fontes consultadas. A probabilidade EPSS é 0,03539 (percentil 0,89226), e o campo de exploração SSVC está como 'poc', o que sugere que pode existir material de prova de conceito; isso não confirma exploração. Uma referência está marcada no registro como relacionada a exploit, e seu conteúdo não foi analisado aqui.

Correção e mitigação

• Atualize o Deno para a 2.6.8 ou versão posterior, seguindo o aviso do fornecedor.
• Inventarie as instalações e serviços do Deno, incluindo pipelines de build e contêineres, para identificar versões anteriores à 2.6.8.
• Revise o código que usa node:child_process e envia dados derivados de usuários, requisições ou arquivos para a execução de processos. Evite invocação baseada em shell quando não for necessária e mantenha dados não confiáveis fora das strings de comando.
• Execute o Deno com o mínimo de permissões necessárias, para que um processo comprometido tenha menor alcance.
• O registro não descreve um contorno, portanto a atualização é a principal medida de correção.

Orientação para detecção

• Monitore processos filhos iniciados por processos Deno, especialmente shells ou binários inesperados.
• Revise os logs de aplicação em busca de entradas incomuns ou malformadas em endpoints que disparam execução de processos.
• Mantenha o inventário de software para confirmar, após a correção, quais hosts ainda executam versões anteriores à 2.6.8.

Limitações das informações disponíveis

O registro não identifica as chamadas de API específicas, os metacaracteres de shell nem as condições de entrada envolvidas, e não informa opções de contorno. A NVD informa pontuação base 9,8, enquanto as pontuações do GitHub presentes no registro são 8,1; ambas são apresentadas aqui. O conteúdo da referência marcada como exploit não foi revisado. Detalhes que ajudariam a construir um ataque foram omitidos de propósito.

Perguntas frequentes

Quais versões são afetadas?

Segundo o registro, as versões do Deno anteriores à 2.6.8 são afetadas, e a 2.6.8 é a versão corrigida.

Há exploração confirmada na natureza?

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Os campos EPSS e SSVC sugerem algum interesse em exploração, mas não a confirmam.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.