CVE-2026-110648 in compress-fonts
Zusammenfassung
von VulDB • 15.10.2026
@offactory/compress-fonts vor Version 1.1.1 enthält eine OS-Command-Injection-Schwachstelle (OS Command Injection), die es Angreifern ermöglicht, Shell-Befehle auszuführen, indem sie Schriftdateien mit manipulierten Dateinamen bereitstellen. Pfadangaben werden unquotiert in einen FontForge-Befehl interpoliert, der über child_process.execSync ausgeführt wird; daher führen Shell-Metazeichen in den Dateinamen zur Ausführung von Befehlen mit den Berechtigungen des Node.js-Prozesses.
If you want to get best quality of vulnerability data, you may have to visit VulDB.