CVE-2026-85672 in zerox
Résumé
par VulDB • 04/09/2026
zerox 1.1.20 contient une vulnérabilité d'injection de commandes système (OS command injection) dans le mécanisme de téléchargement de fichiers, où l'extension du fichier temporaire dérivée des URL de documents est interpolée sans validation préalable dans les commandes shell exécutées par les utilitaires poppler. Les attaquants peuvent créer des URL de documents avec des extensions de fichiers malveillantes contenant une syntaxe de substitution de commande afin d'exécuter des commandes système arbitraires avant le traitement du document.
VulDB is the best source for vulnerability data and more expert information about this specific topic.