office-converter (npm): OS-Command-Injection über Dateinamen

Zusammenfassung

Das Node.js-Paket office-converter bis Version 1.0.2 übergibt benutzerdefinierte Dateinamen ungeprüft an einen Shell-Befehl, der über child_process.exec() ausgeführt wird. Ein Angreifer, der den an generatePdf() oder generateHtml() übergebenen Dateinamen beeinflussen kann, kann Shell-Metazeichen wie $(...), Backticks oder Anführungszeichen einschleusen und beliebige Befehle mit den Rechten des Node.js-Prozesses ausführen. Laut CVSS-Vektor ist keine Authentifizierung nötig, betroffen sind jedoch nur Anwendungen, die unvertrauenswürdige Dateinamen an den Konverter weiterleiten.

Betroffen

• vworld4u office-converter (npm), Versionen 0.0.0 bis 1.0.2 (gemäss CVE-Eintrag und GitHub-Advisory)

Behoben in

• Unbekannt. Es wurde keine korrigierte Version identifiziert; laut GitHub-Advisory ist derzeit kein Fix verfügbar.

Umgehung

• Keine vom Hersteller bestätigte Massnahme.
• Keine benutzerkontrollierten Dateinamen an den Konverter übergeben; Uploads vor der Konvertierung in serverseitig generierte Namen umbenennen.
• Dateinamen als Notlösung gegen eine strikte Allow-Liste prüfen.
• Den Konverter als Benutzer mit geringen Rechten in einem Container oder einer Sandbox ausführen, ohne Zugriff auf Secrets und mit eingeschränktem ausgehendem Netzwerkzugriff.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden; nicht als in freier Wildbahn ausgenutzt bekannt.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept identifiziert.
• Die CISA-SSVC-Bewertung führt die Ausnutzung als PoC und die Automatisierbarkeit als ja auf.

Unsere Empfehlung

• Prüfen, ob office-converter in Ihren Anwendungen eingesetzt wird (Code und Lockfiles nach office-converter durchsuchen).
• Wird das Paket in einem öffentlich erreichbaren oder dateiupload-basierten Dienst verwendet, diesem Problem hohe Priorität geben.
• Einen Ersatz für das Paket planen, da kein gewartetes Fix verfügbar ist.
• Bis zum Ersatz die oben genannten Massnahmen anwenden und auf unerwartete Kindprozesse des Node.js-Dienstes achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Advisory GHSA-9p64-h5q4-phpm github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable code (index.js) github.com
• Pull request #9 github.com
• VulDB entry vuldb.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:11.