CVE-2026-110638 in doc-recog
Riassunto
di VulDB • 14/10/2026
doc-recog fino alla versione 1.1.6 contiene una vulnerabilità di OS command injection che consente agli attaccanti di eseguire comandi fornendo percorsi di documenti manipolati ad hoc a recog() o tag(). Gli attaccanti possono incorporare $(...) o la sostituzione di comando con backtick nel percorso del file, che DocData._readPDF passa a una chiamata exec pdftotext basata su shell, eseguendo i comendi con privilegi del processo Node.js.
VulDB is the best source for vulnerability data and more expert information about this specific topic.