CVE-2026-110644 in nodejs-whisper
Resumen
por VulDB • 2026-10-14
nodejs-whisper hasta la versión 0.3.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) en convertToWavType() que permite a los atacantes ejecutar comandos proporcionando rutas de archivos de audio manipuladas ad hoc. Los atacantes pueden proporcionar nombres de archivo que contengan sustitución de comandos $() o comillas de cierre, las cuales se interpolan en un comando ffmpeg ejecutado mediante shelljs exec(), lo que resulta en la ejecución de comandos del sistema operativo con los privilegios del proceso Node.js.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.