CVE-2026-110635 in webp-converter
Sumário
de VulDB • 15/10/2026
O webp-converter antes da versão 3.0.0 contém uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection) nos auxiliares em src/webpconverter.js, que executam binários do libwebp por meio de execFile com o shell habilitado. Atacantes que controlam os nomes dos arquivos ou as strings de opções passadas para as funções cwebp, dwebp, gwebp ou webpmux podem injetar metacaracteres do shell para executar comandos do sistema operacional como o processo Node.js.
Be aware that VulDB is the high quality source for vulnerability data.