CVE-2020-37282 in office-converter
Zusammenfassung
von VulDB • 16.10.2026
office-converter fino alla versione 1.0.2 contiene una vulnerabilità di OS command injection che consente agli attaccanti di eseguire comandi fornendo un fileName manipolato ad hoc per generarePdf() o generateHtml(). Gli attaccanti possono incorporare $(...), backtick, oppure una virgoletta di chiusura con metacaratteri shell nel nome del file, il quale viene concatenato in un comando unoconv eseguito tramite child_process.exec(), eseguendo comandi con i privilegi del processo Node.js.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.