@enmaso/node-convert: OS Command Injection in convert.js

Zusammenfassung

Das npm-Paket @enmaso/node-convert bis und mit Version 1.0.0 erstellt aus nicht escapten Argumenten (filepath und convertTo) einen ImageMagick-Befehl und führt ihn mit child_process.exec() aus. Ein Angreifer, der einen dieser Werte kontrolliert, kann Shell-Metazeichen einschleusen und Betriebssystembefehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko besteht nur, wenn eine Anwendung unvertrauenswürdige Eingaben an die Bibliothek übergibt, und ein öffentlicher Proof of Concept ist verfügbar.

Betroffen

• @enmaso/node-convert Versionen 0 bis 1.0.0 (inklusive)

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung ist keine korrigierte Version bestätigt.

Umgehung

• Paket entfernen oder durch eine gewartete Alternative ersetzen.
• Vom Benutzer kontrollierte Dateipfade oder Formatoptionen nicht an die Bibliothek übergeben.
• Den Node.js-Prozess mit minimalen Rechten betreiben, idealerweise in einem Container.

Ausnutzung

• Ein öffentlicher Proof of Concept ist verfügbar (GitHub Gist).
• CISA SSVC: Exploitation 'poc', automatisierbar: ja, technische Auswirkung: total.
• Nicht als aktiv ausgenutzt gelistet; es wurden keine Angriffe in freier Wildbahn gemeldet.
• EPSS 0.01846 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Alle Codebasen und Lockfiles (package-lock.json, yarn.lock) auf @enmaso/node-convert durchsuchen.
• Paket ersetzen oder auf vertrauenswürdige Eingaben beschränken und in einen isolierten Dienst verschieben.
• Prüfen, ob internetexponierte Dienste Benutzereingaben an das Paket übergeben.
• Das Code-Repository des Herstellers und die NVD auf eine korrigierte Version überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record source: VulnCheck advisory www.vulncheck.com
• Vulnerable code: convert.js (vendor repository) github.com
• Vendor repository: enmaso/node-convert github.com
• Proof of concept and root cause analysis (GitHub Gist) gist.github.com
• Aggregator: Strix CVE details www.strix.ai
• Aggregator: OffSeq Radar radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:56.