CVE-2026-110644 in nodejs-whisper
Zusammenfassung
von VulDB • 14.10.2026
nodejs-whisper bis Version 0.3.1 enthält eine OS Command Injection-Schwachstelle in convertToWavType(), die es Angreifern ermöglicht, Befehle auszuführen, indem sie speziell angefertigte Audio-Dateipfade bereitstellen. Angreifer können Dateinamen mit $()-Befehlsersetzung oder schließenden Anführungszeichen angeben, die in einen über shelljs exec() ausgeführten ffmpeg-Befehl interpoliert werden und somit OS-Befehle mit den Berechtigungen des Node.js-Prozesses ausführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.