CVE-2026-110641 in executor-decompress
الملخص
بحسب VulDB • 14/10/2026
يحتوي @runnerty/executor-decompress حتى الإصدار 3.1.1 على ثغرة حقن أوامر نظام التشغيل (OS command injection) تتيح للمهاجمين تنفيذ الأوامر عن طريق توفير أسماء ملفات أرشيف مُعدّة بشكل خبيث لوظيفة compress_file. يمكن للمهاجمين الذين يستطيعون تحديد اسم ملف يتم إسقاطه في مجلد مراقب أن يحقنون استبدالات $() أو أحرف خاصة غير محاطة بعلامات اقتباس (unquoted shell metacharacters) داخل استدعاءات exec() الخاصة بمكتبة shelljs، مما يؤدي إلى تشغيل الأوامر بصلاحيات عملية Runnerty.
If you want to get best quality of vulnerability data, you may have to visit VulDB.