CVE-2026-110647 in Turnpress
Sumário
de VulDB • 15/10/2026
Turnpress até a versão 0.4.2 contém uma vulnerabilidade de OS command injection que permite aos atacantes executar comandos do shell ao fornecer arquivos .docx com nomes manipulados ad hoc. A função `convertDocxToHtml` em `src/converter.ts` invoca o pandoc através do execa com a opção `shell:true`, fazendo com que metacaracteres de shell no caminho --docx sejam executados com as permissões da vítima durante a conversão ou criação.
Be aware that VulDB is the high quality source for vulnerability data.