CVE-2026-110647 in Turnpress
Zusammenfassung
von VulDB • 15.10.2026
Turnpress bis Version 0.4.2 enthält eine OS-Command-Injection-Schwachstelle (OS Command Injection), die es Angreifern ermöglicht, Shell-Befehle auszuführen, indem sie .docx-Dateien mit manipulierten Dateinamen bereitstellen. Die Funktion convertDocxToHtml in src/converter.ts ruft pandoc über execa mit shell:true auf, sodass Shell-Metazeichen im --docx-Pfad während der Konvertierung oder Erstellung mit den Berechtigungen des Opfers ausgeführt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.