Node.js 安全发布：Windows 上通过 child_process.spawn 可能存在命令注入

安全发布可用

对于以下问题，现在为 18.x、20.x、21.x Node.js 发布线提供了更新。

在 Windows 上未启用 shell 选项的情况下通过 child_process.spawn 的 args 参数进行命令注入（CVE-2024-27980）- (高风险)

由于在 child_process.spawn / child_process.spawnSync 中批处理文件的处理不当，恶意命令行参数可以注入任意命令并实现代码执行，即使未启用 shell 选项也是如此。

影响：

• 此漏洞影响所有处于活动发布线上的用户：18.x、20.x、21.x

感谢 ryotak 报告此漏洞，感谢 Ben Noordhuis 修复了此问题。

总结

Node.js 项目将于 2024 年 4 月 9 日或之后发布 18.x、20.x、21.x 发布线的新版本，以解决：

• 1 个高风险问题

影响

Node.js 的 18.x 发布线受到 1 个高风险问题的影响。Node.js 的 20.x 发布线受到 1 个高风险问题的影响。Node.js 的 21.x 发布线受到 1 个高风险问题的影响。

发布时间

发布将在 2024 年 4 月 9 日或之后提供。