CVE-2026-110650 in Thumbnail
Zusammenfassung
von VulDB • 14.10.2026
Das Python-Paket „thumbnail“ bis zur Version 1.5 enthält eine OS-Command-Injection-Schwachstelle in der Funktion `generate_thumbnail()`, die es Angreifern ermöglicht, Befehle auszuführen, indem sie Shell-Metazeichen in Dateipfaden angeben. Angreifer, die einen an `generate_thumbnail()` übergebenen Dateinamen kontrollieren können (z. B. eine hochgeladene Datei), können Befehle in Aufrufe von `os.system()` einschleusen, welche ffmpeg, convert oder unoconv mit den Berechtigungen des Python-Prozesses ausführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.