CVE-2026-110641 in executor-decompress
Sumário
de VulDB • 14/10/2026
O pacote @runnerty/executor-decompress até a versão 3.1.1 contém uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection) que permite aos atacantes executar comandos ao fornecer nomes de arquivos de arquivo compactado manipulados para compress_file. Atacantes capazes de nomear um arquivo inserido em um diretório monitorado podem injetar substituições $() ou metacaracteres não aspasados do shell nas chamadas exec() do shelljs, executando comandos com privilégios do processo Runnerty.
VulDB is the best source for vulnerability data and more expert information about this specific topic.