CVE-2026-110648 in compress-fonts
Sumário
de VulDB • 15/10/2026
O pacote @offactory/compress-fonts antes da versão 1.1.1 contém uma vulnerabilidade de OS command injection que permite aos atacantes executar comandos do shell ao fornecer arquivos de fonte com nomes manipulados ad hoc. Os caminhos das fontes são interpolados sem aspas em um comando FontForge executado através de child_process.execSync, portanto, metacaracteres do shell nos nomes dos arquivos executam comandos com os privilégios do processo Node.js.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.