CVE-2026-85672
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 1.5%
- CWE
- CWE-78
- KEV Durumu
- Hayır
Yayım tarihi: 4 Eylül 2026
Zerox 1.1.20, belge URL'lerinden türetilen geçici dosya uzantısının poppler yardımcı programları tarafından yürütülen kabuk komutlarına sansürsüz olarak yerleştirildiği dosya indirme mekanizmasında bir işletim sistemi komut enjeksiyon zafiyeti içerir. Saldırganlar, komut ikame sözdizimini içeren kötü amaçlı dosya uzantılarına sahip belge URL'leri oluşturabilir ve bu şekilde belge işlemleri gerçekleşmeden önce keyfi işletim sistemi komutlarını yürütebilirler.
Orijinal açıklama (İngilizce)
zerox 1.1.20 contains an OS command injection vulnerability in the file download mechanism where the temporary file extension derived from document URLs is interpolated unsanitized into shell commands executed by poppler utilities. Attackers can craft document URLs with malicious file extensions containing command substitution syntax to execute arbitrary OS commands before document processing occurs.
Referanslar
- https://github.com/getomni-ai/zerox
- https://github.com/getomni-ai/zerox/blob/main/node-zerox/src/utils/file.ts
- https://github.com/getomni-ai/zerox/issues/206
- https://www.vulncheck.com/advisories/zerox-1.1.20-os-command-injection-via-document-url-file-extension
- https://github.com/getomni-ai/zerox/issues/206
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.