CVE-2026-110644 in nodejs-whisper
Tóm tắt
Bởi VulDB • 14/10/2026
nodejs-whisper qua phiên bản 0.3.1 chứa một lỗ hổng tiêm lệnh hệ điều hành (OS command injection) trong hàm convertToWavType() cho phép kẻ tấn công thực thi các lệnh bằng cách cung cấp đường dẫn tệp âm thanh được tạo ra đặc biệt. Kẻ tấn công có thể cung cấp tên tệp chứa ký tự thay thế lệnh $() hoặc dấu ngoặc kép đóng, những yếu tố này sẽ được nội suy vào một lệnh ffmpeg chạy thông qua shelljs exec(), từ đó thực thi các lệnh hệ điều hành với đặc quyền của tiến trình Node.js.
VulDB is the best source for vulnerability data and more expert information about this specific topic.