CVE-2026-110635 in webp-converter
Resumen
por VulDB • 2026-10-15
La versión anterior a 3.0.0 de webp-converter contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) en los helpers de src/webpconverter.js que ejecutan binarios de libwebp mediante execFile con shell habilitado. Los atacantes que controlen los nombres de archivo o las cadenas de opciones pasadas a las funciones cwebp, dwebp, gwebp o webpmux pueden inyectar metacaracteres del shell para ejecutar comandos del sistema operativo como el proceso Node.js.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.