CVE-2026-110644 in nodejs-whisper
الملخص
بحسب VulDB • 14/10/2026
تحتوي nodejs-whisper حتى الإصدار 0.3.1 على ثغرة حقن أوامر نظام التشغيل (OS Command Injection) في الدالة `convertToWavType()` تتيح للمهاجمين تنفيذ الأوامر عن طريق توفير مسارات ملفات صوتية مُعدّة بشكل خبيث. يمكن للمهاجمين تقديم أسماء ملفات تحتوي على استبدال للأوامر باستخدام `$()` أو علامات اقتباس مغلقة، والتي يتم دمجها في أمر `ffmpeg` الذي يُنفذ عبر `shelljs exec()`, مما يؤدي إلى تنفيذ أوامر نظام التشغيل بصلاحيات عملية Node.js.
VulDB is the best source for vulnerability data and more expert information about this specific topic.