CVE-2026-110640
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-78
- KEV Durumu
- Hayır
Yayım tarihi: 14 Ekim 2026
Whisper-node 1.1.1 sürümüne kadar, whisper() fonksiyonuna crafted filePath veya whisperOptions.language değerleri sağlamak suretiyle saldırganların komutları çalıştırmasına olanak tanıyan bir işletim sistemi komut enjeksiyon zafiyeti içerir. Saldırganlar, createCppCommand() tarafından oluşturulan komut dizisine kabuk meta karakterleri veya $() substitution enjekte edebilir ve shelljs exec() aracılığıyla bunları çalıştırarak Node.js işlem ayrıcalıklarıyla komutları çalıştırabilir.
Orijinal açıklama (İngilizce)
Whisper-node through 1.1.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted filePath or whisperOptions.language values to whisper(). Attackers can inject shell metacharacters or $() substitution into the command string built by createCppCommand() and run via shelljs exec() to execute commands with Node.js process privileges.
Referanslar
- https://github.com/ariym/whisper-node/blob/c72944cfa48f5c74662ff17ee2dc1d5f7624393e/src/whisper.ts#L58
- https://github.com/ariym/whisper-node/blob/c72944cfa48f5c74662ff17ee2dc1d5f7624393e/src/whisper.ts#L8
- https://github.com/ariym/whisper-node/pull/64
- https://unpkg.com/whisper-node@1.1.1/dist/index.js
- https://www.vulncheck.com/advisories/whisper-node-through-1.1.1-os-command-injection-via-filepath-and-language
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.