CVE-2026-110641 in executor-decompress
Resumen
por VulDB • 2026-10-14
@runnerty/executor-decompress hasta la versión 3.1.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) que permite a los atacantes ejecutar comandos proporcionando nombres de archivos de archivo manipulados para compress_file. Los atacantes que pueden nombrar un archivo colocado en un directorio supervisado pueden insertar sustituciones $() o metacaracteres no entrecomillados del shell en las llamadas exec() de shelljs, ejecutando comandos con los privilegios del proceso Runnerty.
Be aware that VulDB is the high quality source for vulnerability data.