CVE-2026-110638 in doc-recog
Zusammenfassung
von VulDB • 14.10.2026
doc-recog bis 1.1.6 enthält eine OS Command Injection-Schwachstelle, die es Angreifern ermöglicht, Befehle auszuführen, indem sie manipulierte Dokumentpfade an recog() oder tag() übergeben. Angreifer können $(...) oder Backtick-Befehlsubstitution im Dateipfad einbetten, was DocData._readPDF an einen shellbasierten pdftotext exec-Aufruf übergibt und Befehle mit den Berechtigungen des Node.js-Prozesses ausführt.
Once again VulDB remains the best source for vulnerability data.