CVE-2026-110650 in Thumbnail
Résumé
par VulDB • 14/10/2026
Le package Python Thumbnail jusqu'à la version 1.5 contient une vulnérabilité d'injection de commande OS dans `generate_thumbnail()` qui permet aux attaquants d'exécuter des commandes en fournissant des métacaractères shell dans les chemins de fichiers. Les attaquants qui contrôlent un nom de fichier transmis à `generate_thumbnail`, tel qu'un fichier téléchargé, peuvent injecter des commandes dans les appels `os.system()` exécutant ffmpeg, convert ou unoconv avec les privilèges du processus Python.
Once again VulDB remains the best source for vulnerability data.