ppt2png: Befehlsinjektion (OS Command Injection) über Eingabe- und Ausgabepfade

Zusammenfassung

Die npm-Bibliothek ppt2png bis Version 0.0.6 baut Shell-Befehle durch Verkettung von Dateipfad-Argumenten in Aufrufen von child_process.exec() zusammen. Ein Angreifer, der Eingabe- oder Ausgabepfade liefern kann, kann Shell-Metazeichen wie ';' anhängen und beliebige Betriebssystembefehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko betrifft vor allem Anwendungen, die unvertrauenswürdige Dateien an die Bibliothek übergeben, etwa Upload- oder Dokumentkonvertierungsfunktionen. Das Projekt wird nicht mehr gepflegt und es ist kein Fix verfügbar.

Betroffen

• tzwm ppt2png, Versionen 0 bis 0.0.6 (einschliesslich der neuesten veröffentlichten Version 0.0.6)

Behoben in

Unbekannt. Es wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden, und das Projekt hat seit rund 12 Jahren keine Veröffentlichungen mehr.

Umgehung

• ppt2png wenn möglich entfernen oder ersetzen.
• Keine unvertrauenswürdigen Dateien oder Pfade an ppt2png übergeben.
• Falls die Bibliothek weiterhin genutzt werden muss, die Konvertierung in einem isolierten Container oder einer Sandbox ohne Netzwerkzugriff und mit minimalen Dateiberechtigungen ausführen.
• Entwickler: exec() durch execFile() oder spawn() mit Argumentarrays ersetzen und Pfadargumente validieren, wie im öffentlichen Bericht vorgeschlagen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Laut den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Öffentlicher Proof of Concept: nicht bestätigt. Ein referenziertes GitHub-Gist wurde nicht geprüft.
• Der EPSS-Wert ist niedrig (laut einem Aggregator etwa 0.0147).

Unsere Empfehlung

• Anwendungscode und Lockfiles (package.json, package-lock.json) nach ppt2png durchsuchen.
• Prüfen, ob eine über das Internet erreichbare Funktion Benutzerdateien an die Bibliothek übergibt.
• Entfernung oder Ersatz planen, da kein Fix existiert.
• Bis dahin Konvertierungen nur in einer isolierten Umgebung ohne privilegierte Rechte ausführen.
• NVD, VulnCheck und das GitHub-Repository auf einen Fix oder Proof of Concept überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Public report (GitHub Gist) gist.github.com
• ppt2png repository github.com
• ppt2png.js at referenced commit github.com
• ppt2png npm package www.npmjs.com
• Strix CVE summary www.strix.ai
• OffSeq radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:57.