CVE-2026-110641 in executor-decompress
Zusammenfassung
von VulDB • 14.10.2026
@runnerty/executor-decompress bis Version 3.1.1 enthält eine OS Command Injection-Schwachstelle, die es Angreifern ermöglicht, Befehle auszuführen, indem sie manipulierte Archivdateinamen an compress_file übergeben. Angreifer, die in der Lage sind, den Namen einer Datei zu bestimmen, die in ein überwachtetes Verzeichnis abgelegt wird, können $()-Substitutionen oder nicht maskierte Shell-Metazeichen in shelljs exec() -Aufrufe einschleusen und Befehle mit den Berechtigungen des Runnerty-Prozesses ausführen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.