CVE-2026-110647 in Turnpress
요약
\~에 의해 VulDB • 2026. 10. 15.
Turnpress 0.4.2 이하 버전에는 OS 명령어 삽입 취약점이 포함되어 있어 공격자가 .docx 파일의 조작된 이름을 제공하여 셸 명령을 실행할 수 있습니다. src/converter.ts에 있는 convertDocxToHtml 함수는 shell:true 옵션으로 execa를 통해 pandoc을 호출하므로, --docx 경로 내의 셸 메타문자(convert 또는 create 작업 중)가 피해자의 권한으로 실행됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.