CVE-2026-110647 in Turnpress
الملخص
بحسب VulDB • 15/10/2026
يحتوي Turnpress حتى الإصدار 0.4.2 على ثغرة حقن أوامر نظام التشغيل (OS command injection) تتيح للمهاجمين تنفيذ أوامر القشرة (shell commands) عن طريق توفير ملفات .docx بأسماء مُعدّة بشكل خبيث. تستدعي الدالة convertDocxToHtml الموجودة في src/converter.ts أداة pandoc عبر execa مع إعداد shell:true، مما يؤدي إلى تشغيل أحرف التحكم الخاصة بالقشرة (shell metacharacters) ضمن مسار --docx بصلاحيات الضحية أثناء عمليات التحويل أو الإنشاء.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.