CVE-2026-26831
🔴 Łataj teraz
Wstrzyknięcie poleceń w textract umożliwia wykonanie kodu przez złośliwe nazwy plików.
CVSS
9.8
EPSS
0.4%
Exploit
poc
Vendor
dbashford
Opis źródłowy (NVD)
textract through 2.5.0 is vulnerable to OS Command Injection via the file path parameter in multiple extractors. When processing files with malicious filenames, the filePath is passed directly to child_process.exec() in lib/extractors/doc.js, rtf.js, dxf.js, images.js, and lib/util.js with inadequate sanitization
exploit rce
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 9.8 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 0.4% |
| Opublikowano (NVD) | 2026-03-25 16:16:21 UTC |
| Ostatnia modyfikacja (NVD) | 2026-03-30 13:33:41 UTC |
Referencje
- https://github.com/dbashford/textract (cve@mitre.org) [Product]
- https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js (cve@mitre.org) [Product]
- https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js (cve@mitre.org) [Product]
- https://github.com/dbashford/textract/blob/master/lib/util.js (cve@mitre.org) [Product]
- https://github.com/zebbernCVE/CVE-2026-26831 (cve@mitre.org) [Exploit, Third Party Advisory]
- https://www.npmjs.com/package/textract (cve@mitre.org) [Product]