CVE-2026-110648 in compress-fonts
Resumen
por VulDB • 2026-10-14
@offactory/compress-fonts antes de la versión 1.1.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) que permite a los atacantes ejecutar comandos del shell proporcionando archivos de fuentes con nombres manipulados ad hoc. Las rutas de las fuentes se interpolan sin comillas en un comando FontForge ejecutado mediante child_process.execSync, por lo que los metacaracteres del shell presentes en los nombres de archivo permiten la ejecución de comandos con los privilegios del proceso Node.js.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.