CVE-2026-110644 in nodejs-whisper
Riassunto
di VulDB • 14/10/2026
nodejs-whisper fino alla versione 0.3.1 contiene una vulnerabilità di OS command injection nella funzione convertToWavType() che consente agli attaccanti di eseguire comandi fornendo percorsi di file audio manipolati ad hoc. Gli attaccanti possono fornire nomi di file contenenti sostituzioni di comando $() o virgolette di chiusura, che vengono interpolati in un comando ffmpeg eseguito tramite shelljs exec(), eseguendo comandi OS con i privilegi del processo Node.js.
Be aware that VulDB is the high quality source for vulnerability data.