easy-pdf-merge: OS-Command-Injection über die Merge-Funktion

Zusammenfassung

Das Node.js-Modul easy-pdf-merge in den Versionen 0.1.0 bis 0.2.6 übergibt Quellpfade, Zielpfad und die Option maxHeap an child_process.exec(), das diese über eine Shell ausführt. Ein Angreifer, der Dateinamen oder Optionen beeinflussen kann, kann Shell-Metazeichen einschleusen und beliebige Befehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko besteht nur, wenn eine Anwendung unvertrauenswürdige Eingaben an das Modul weitergibt; das Paket wird nicht mehr gepflegt und es ist keine korrigierte Version verfügbar.

Betroffen

• easy-pdf-merge 0.1.0 bis 0.2.6
• Die Standardkonfiguration ist nicht betroffen; die Lücke wird durch unvertrauenswürdige Eingaben in Quellpfaden, Zielpfad oder der Option maxHeap ausgelöst

Behoben in

Unbekannt. Es ist kein korrigierter Release verfügbar; die npm-Registry führt 0.2.6 als neueste Version.

Umgehung

• Dateinamen, Pfade oder Optionen von Benutzern nicht an das Modul weitergeben
• Feste oder generierte Dateinamen verwenden und Pfade gegen eine Allowlist prüfen
• Die betroffene Anwendung mit minimalen Rechten, in einem Container oder einer Sandbox und ohne Zugriff auf Geheimnisse betreiben

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: total
• Nicht als bekanntermassen ausgenutzt gelistet; keine Ausnutzung in freier Wildbahn gefunden
• Ein Proof of Concept existierte 2020 (referenziert in PR #28)
• EPSS 0.01497

Unsere Empfehlung

• Anwendungen identifizieren, die easy-pdf-merge verwenden, z. B. mit 'npm ls easy-pdf-merge'
• Das Paket durch eine gepflegte PDF-Bibliothek ersetzen oder entfernen, falls nicht mehr benötigt
• Bis zum Ersatz verhindern, dass unvertrauenswürdige Benutzer Dateinamen, Pfade oder Optionen beeinflussen
• Die betroffene Anwendung auf unerwartete Kindprozesse überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2020-37279 GitHub repository easy-pdf-merge github.com
• PDFMerger.js at v0.2.6 (vulnerable code) github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2020-37279 osv.dev
• GitHub pull request #28 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:41.