CVE-2022-25918: shescape project shescape

csirt@kutim:~/threat-intel/cve/CVE-2022-25918

CVSS 7.5 · High EPSS 1,4%

Kerentanan Inefficient Regular Expression Complexity pada shescape project shescape. Skor CVSS 3.1 7.5 (High) menurut NVD.

Deskripsi (NVD)

The package shescape from 1.5.10 and before 1.6.1 are vulnerable to Regular Expression Denial of Service (ReDoS) via the escape function in index.js, due to the usage of insecure regex in the escapeArgBash function.

Rincian

Terbit di NVD: 27 Oktober 2022
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 7.5 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-1333: Inefficient Regular Expression Complexity
EPSS (30 hari): 1,4% peluang dieksploitasi; lebih tinggi dari 70,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
shescape project	shescape	Versi 1.5.10
shescape project	shescape	Versi 1.6.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/ericcornelissen/shescape/commit/552e8eab56861720b1d4e5474fb65741643358f9 patch · advisory pihak ketiga
https://security.snyk.io/vuln/SNYK-JS-SHESCAPE-3061108 exploit · patch · advisory pihak ketiga
https://github.com/ericcornelissen/shescape/releases/tag/v1.6.1 release notes · advisory pihak ketiga
https://github.com/ericcornelissen/shescape/blob/main/src/unix.js%23L52 broken link

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.