AngusKit 安全检查报告（示例）

shell-quote 的 `quote()` 会把 `{ comment }` 令牌输出为 `#` 加上注释文本，从而把该行剩余内容（包括后面字符串令牌的起始引号）注释掉。若后面的字符串含有换行符（\n、\r、U+2028、U+2029），注释会在此处结束，剩余内容被当作 shell 输入解析。例如 `quote(['echo', 'ok', { comment: 'x' }, 'a\nid;#'])` 会在 sh、bash、dash、ksh 和 zsh 中执行 `id`。`parse()` 会把单词中间的 `#`（例如 `http://example.com/#frag`）解析成注释令牌，因此把 `parse()` 的结果再与另一段不可信字符串拼接的调用（如 `quote(parse(untrustedCommand).concat(untrustedArg))`）也会受影响。CVE-2026-9277 的修复只拒绝了注释自身文本中的换行符，没有处理它之后令牌里的换行符。1.11.0 已修复：当 `{ comment }` 之后的字符串含有换行符时，`quote()` 会抛出 `TypeError`。

升级到 1.11.0

shell-quote 的 `quote()` 原先没有按 `parse()` 的操作符模型校验对象令牌。`.op` 字段用 `/(.)/g` 逐字符加反斜杠转义，而 JavaScript 中该正则不匹配换行符（\n、\r、U+2028、U+2029）。因此 `.op` 中的换行符会原样进入输出。POSIX shell 把字面换行当作命令分隔符，其后的内容会作为第二条命令执行。有两条路径可以触发：一是外部输入直接构造 `{ op: '...\n...' }`；二是调用 `parse(cmd, envFn)`，且 `envFn` 返回的对象令牌中 `.op` 受攻击者影响。两者都是文档中的 API。修复改为严格的形状校验：`.op` 必须属于解析器的控制操作符白名单；`{ op: 'glob', pattern }` 会校验 `pattern` 并禁止换行符；`{ comment }` 会校验 `comment` 并禁止换行符；其他对象形状抛出 `TypeError`。

升级到 1.8.4

PostCSS 读取 CSS 文件，并把规则转换成抽象语法树，供调用方分析和修改。在 8.5.11 及更早版本中，PreviousMap 会解析传给 process() 的任意 CSS 字符串里的 /*# sourceMappingURL=PATH */ 注释，并在本地文件系统上打开 PATH，没有协议限制、白名单或路径遍历检查。控制 CSS 输入的攻击者可以让宿主进程读取 Node 进程可读的任意文件，并通过随后 JSON.parse 的 SyntaxError 信息泄露该文件开头约 10 个字节。该缺陷还可以精确判断文件是否存在，并与大文件组合造成拒绝服务。使用 PostCSS 默认选项即可触发，不需要 from、map 或插件，因此任何把不可信 CSS 交给 PostCSS 的流程都会受影响，例如 CMS 主题、用户上传的样式、浏览器扩展或用户样式处理、第三方包的构建流水线、博客评论渲染。8.5.12 已修复。

升级到 8.5.12

# `!!omap` 解析消耗二次方 CPU（js-yaml 3.x 与 4.x） ## 摘要 `resolveYamlOmap()` 在逐项循环里用线性扫描（`objectKeys.indexOf(...)`）检查 `!!omap` 序列的键是否唯一，使解析复杂度随条目数达到 **O(n²)**。因此一份体积不大的 YAML 文档也会在 `yaml.load()` 中消耗不成比例的 CPU，对任何解析不可信 YAML 的程序造成拒绝服务。 `!!omap` 注册在**默认 schema**中（`lib/schema/default.js` → `require('../type/omap')`）。不带选项调用 `yaml.load(untrustedInput)` 就会受影响，不需要自定义 schema 或非默认配置。 **这与 CVE-2026-59870 / GHSA-724g-mxrg-4qvm 是同一缺陷。** 5.x 在 5.2.1 中已修复，但没有回移植到仍在维护的 3.x 和 4.x，这两条线仍是原来的实现。 ## 受影响版本 | 版本线 | 已测最新版 | 状态 | |---|---|---| | 3.x | **3.15.0** | 受影响 — `lib/type/omap.js:29` 的 `objectKeys.indexOf(pairKey)` | | 4.x | **4.3.0** | 受影响 — `lib/type/omap.js:30` 的 `objectKeys.indexOf(pairKey)` | | 5.x | 5.2.2 | **不受影响** — 5.2.1 已改为使用 `Set` | 两处版本号都是撰写时各版本线的最新发行版，因此这不是「还在用旧版本」的问题。 ## 细节 `lib/type/omap.js`（js-yaml 4.3.0）： ```js if (objectKeys.indexOf(pairKey) === -1) objectKeys.push(pairKey) else return false ``` `objectKeys` 每增加一条就多一个元素，而 `Array.prototype.indexOf` 是线性扫描。解析含 `n` 条的 `!!omap` 大约要做 `1 + 2 + … + n` 次比较，复杂度相对 `n` 是二次方。这些工作在 `yaml.load()` 中同步执行，并在整个期间阻塞事件循环。 5.x 已用 `Set` 记录见过的键来解决同一问题（`src/tag/sequence/omap.ts`）： ```ts if (carrier.seen.has(key)) return 'duplicate key in ordered map' carrier.seen.add(key) ``` ## 证明节选已截断…

升级到 4.3.1、3.15.1

# `!!omap` 解析消耗二次方 CPU（js-yaml 3.x 与 4.x） ## 摘要 `resolveYamlOmap()` 在逐项循环里用线性扫描（`objectKeys.indexOf(...)`）检查 `!!omap` 序列的键是否唯一，使解析复杂度随条目数达到 **O(n²)**。因此一份体积不大的 YAML 文档也会在 `yaml.load()` 中消耗不成比例的 CPU，对任何解析不可信 YAML 的程序造成拒绝服务。 `!!omap` 注册在**默认 schema**中（`lib/schema/default.js` → `require('../type/omap')`）。不带选项调用 `yaml.load(untrustedInput)` 就会受影响，不需要自定义 schema 或非默认配置。 **这与 CVE-2026-59870 / GHSA-724g-mxrg-4qvm 是同一缺陷。** 5.x 在 5.2.1 中已修复，但没有回移植到仍在维护的 3.x 和 4.x，这两条线仍是原来的实现。 ## 受影响版本 | 版本线 | 已测最新版 | 状态 | |---|---|---| | 3.x | **3.15.0** | 受影响 — `lib/type/omap.js:29` 的 `objectKeys.indexOf(pairKey)` | | 4.x | **4.3.0** | 受影响 — `lib/type/omap.js:30` 的 `objectKeys.indexOf(pairKey)` | | 5.x | 5.2.2 | **不受影响** — 5.2.1 已改为使用 `Set` | 两处版本号都是撰写时各版本线的最新发行版，因此这不是「还在用旧版本」的问题。 ## 细节 `lib/type/omap.js`（js-yaml 4.3.0）： ```js if (objectKeys.indexOf(pairKey) === -1) objectKeys.push(pairKey) else return false ``` `objectKeys` 每增加一条就多一个元素，而 `Array.prototype.indexOf` 是线性扫描。解析含 `n` 条的 `!!omap` 大约要做 `1 + 2 + … + n` 次比较，复杂度相对 `n` 是二次方。这些工作在 `yaml.load()` 中同步执行，并在整个期间阻塞事件循环。 5.x 已用 `Set` 记录见过的键来解决同一问题（`src/tag/sequence/omap.ts`）： ```ts if (carrier.seen.has(key)) return 'duplicate key in ordered map' carrier.seen.add(key) ``` ## 证明节选已截断…

升级到 4.3.1、3.15.1

# `!!omap` 解析消耗二次方 CPU（js-yaml 3.x 与 4.x） ## 摘要 `resolveYamlOmap()` 在逐项循环里用线性扫描（`objectKeys.indexOf(...)`）检查 `!!omap` 序列的键是否唯一，使解析复杂度随条目数达到 **O(n²)**。因此一份体积不大的 YAML 文档也会在 `yaml.load()` 中消耗不成比例的 CPU，对任何解析不可信 YAML 的程序造成拒绝服务。 `!!omap` 注册在**默认 schema**中（`lib/schema/default.js` → `require('../type/omap')`）。不带选项调用 `yaml.load(untrustedInput)` 就会受影响，不需要自定义 schema 或非默认配置。 **这与 CVE-2026-59870 / GHSA-724g-mxrg-4qvm 是同一缺陷。** 5.x 在 5.2.1 中已修复，但没有回移植到仍在维护的 3.x 和 4.x，这两条线仍是原来的实现。 ## 受影响版本 | 版本线 | 已测最新版 | 状态 | |---|---|---| | 3.x | **3.15.0** | 受影响 — `lib/type/omap.js:29` 的 `objectKeys.indexOf(pairKey)` | | 4.x | **4.3.0** | 受影响 — `lib/type/omap.js:30` 的 `objectKeys.indexOf(pairKey)` | | 5.x | 5.2.2 | **不受影响** — 5.2.1 已改为使用 `Set` | 两处版本号都是撰写时各版本线的最新发行版，因此这不是「还在用旧版本」的问题。 ## 细节 `lib/type/omap.js`（js-yaml 4.3.0）： ```js if (objectKeys.indexOf(pairKey) === -1) objectKeys.push(pairKey) else return false ``` `objectKeys` 每增加一条就多一个元素，而 `Array.prototype.indexOf` 是线性扫描。解析含 `n` 条的 `!!omap` 大约要做 `1 + 2 + … + n` 次比较，复杂度相对 `n` 是二次方。这些工作在 `yaml.load()` 中同步执行，并在整个期间阻塞事件循环。 5.x 已用 `Set` 记录见过的键来解决同一问题（`src/tag/sequence/omap.ts`）： ```ts if (carrier.seen.has(key)) return 'duplicate key in ordered map' carrier.seen.add(key) ``` ## 证明节选已截断…

升级到 4.3.1、3.15.1