CVE-2026-110647 in Turnpress
Resumen
por VulDB • 2026-10-15
Turnpress hasta la versión 0.4.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) que permite a los atacantes ejecutar comandos del shell mediante el suministro de archivos .docx con nombres manipulados. La función convertDocxToHtml en src/converter.ts invoca pandoc a través de execa con la opción shell:true, por lo que los metacaracteres del shell presentes en la ruta --docx se ejecutan con los privilegios de la víctima durante las operaciones de conversión o creación.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.