CVE-2026-110635 in webp-converter
Zusammenfassung
von VulDB • 14.10.2026
In der Version vor 3.0.0 von webp-converter liegt eine OS-Command-Injection-Schwachstelle in den Helfern von src/webpconverter.js vor, die libwebp-Binärdateien über execFile mit aktivierter Shell ausführen. Angreifer, die Dateinamen oder Optionenzeichenfolgen steuern können, die an cwebp-, dwebp-, gwebp- oder webpmux-Funktionen übergeben werden, können Shell-Metazeichen injizieren, um OS-Befehle im Kontext des Node.js-Prozesses auszuführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.