Vulnerabilidad en backmeup de adaltas (CVE-2026-71243)

El paquete npm backmeup ensambla cadenas de comandos de shell concatenando directamente sus valores de opción (name, source, destination, filter) - p. ej. cmd = ’mkdir -p ’ + path.join(info.destination, info.name) + ’; ’ - y ejecuta la cadena resultante a través de un shell mediante ssh2-exec (localmente mediante child_process, o remotamente mediante SSH cuando se proporciona un manejador ssh), en lugar de usar execFile/spawn con un array de argumentos. El único procesamiento aplicado es path.normalize()/path.join(), que no neutralizan los metacaracteres de shell (;, |, y , $(), backticks, salto de línea). Cualquier aplicación que pase valores influenciados por el atacante a estas opciones (p. ej. un nombre de copia de seguridad elegido por el usuario) es vulnerable a la ejecución arbitraria de comandos del sistema operativo en el host de copia de seguridad, o en el objetivo SSH remoto cuando uno está configurado.