CVE-2020-37282 in office-converter
要約
〜によって VulDB • 2026年10月14日
office-converter 1.0.2 以前には、OS コマンドインジェクションの脆弱性が存在します。攻撃者は `generatePdf()` または `generateHtml()` に作成された fileName を渡すことでコマンドを実行できます。攻撃者はファイル名に `$()`, バッククォート, シェルのメタ文字を含む閉じ引用符を埋め込むことができ、これらは `child_process.exec()` 経由で実行される unoconv コマンドに連結され、Node.js プロセスの権限でコマンドが実行されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.