webp-converter: OS-Command-Injection über Dateinamen und Optionen

Zusammenfassung

webp-converter, eine Node.js-Bibliothek zur Konvertierung von Bildern in das WebP-Format und zurück, übergibt Dateinamen und Optionszeichenketten vor Version 3.0.0 mit aktivierter Shell an mitgelieferte libwebp-Programme. Ein Angreifer, der diese Werte kontrolliert, kann Shell-Metazeichen einschleusen und OS-Befehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko besteht vor allem dann, wenn eine Anwendung unvertrauenswürdige Eingaben an die Bibliothek weitergibt, etwa in einer Bild-Upload-Funktion.

Betroffen

• webp-converter (npm) vor 3.0.0
• Gemäss CVE-Eintrag sind die Versionen 0 bis unter 3.0.0 betroffen.

Behoben in

• 3.0.0 (gemäss Angaben des CNA; der Inhalt des Fixes und die npm-Veröffentlichung wurden nicht unabhängig geprüft)

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Benutzergesteuerte Dateinamen oder Optionszeichenketten nicht an die Bibliothek übergeben.
• Interne Dateinamen generieren und feste Optionswerte verwenden.
• Den Node.js-Prozess mit minimalen Rechten betreiben.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS 0.02521.

Unsere Empfehlung

• webp-converter in Node.js-Projekten identifizieren, z. B. mit npm ls webp-converter.
• Prüfen, ob Benutzereingaben Dateinamen oder Optionen beeinflussen.
• Nach Prüfung des Changelogs auf 3.0.0 oder neuer aktualisieren oder die Bibliothek ersetzen.
• Bis dahin die Benutzerkontrolle über Dateinamen und Optionen unterbinden.
• Das Repository ist als veraltet markiert; falls keine gepflegte Version verfügbar ist, einen Ersatz planen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record via VulnCheck advisory www.vulncheck.com
• webp-converter repository github.com
• Vulnerable code in src/webpconverter.js github.com
• Fix commit f1b6724 github.com
• CHANGELOG.md github.com
• Pull request #53 github.com
• OSV entry CVE-2026-110635 osv.dev
• VulDB entry 420022 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:06.