What is CVE-2026-16022?
@oblique/cli version 15.4.0 is vulnerable to OS command injection in project creation due to unsafe string concatenation used with `execSync()`. The user-supplied `project-name` argument is inserted into shell commands without proper neutralization, potentially allowing arbitrary command execution. Immediately apply vendor patches or enhance input sanitization.
Azərbaycanca: @oblique/cli 15.4.0 versiyasında, layihə yaratma zamanı istifadəçi tərəfindən daxil edilən `project-name` arqumentinin kifayət qədər təmizlənməməsi səbəbindən OS command injection zəifliyi mövcuddur. Bu, `execSync()` funksiyası vasitəsilə ixtiyari sistem əmrlərinin icrasına imkan yaradır. Təcili olaraq vendor tərəfindən təqdim edilən yeniləmə tətbiq edilməli və ya giriş validasiyası gücləndirilməlidir.
Related CVEs
link basis: same weakness class CWE-78
FAQ2
What type of security vulnerability exists in @oblique/cli version 15.4.0?
@oblique/cli version 15.4.0 contains an OS command injection vulnerability due to insufficient sanitization of the user-supplied `project-name` argument during project creation.
How can arbitrary system commands be executed using this vulnerability?
The vulnerability allows arbitrary command execution because the `project-name` argument is inserted into shell commands without proper neutralization and then executed via the `execSync()` function.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.