transcribe2texts: OS-Befehlsinjektion über transcribeAudio audioPath

Zusammenfassung

Das npm-Paket transcribe2texts bis einschliesslich Version 1.0.6 erstellt aus dem Parameter audioPath von transcribeAudio() einen Shell-Befehl ohne ausreichende Maskierung. Ein Angreifer, der diesen Pfad beeinflussen kann, kann Shell-Konstrukte wie $() oder Backticks einschleusen und beliebige Befehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko hängt von der Anwendung ab: Es ist hoch, wenn Aussenstehende die an die Funktion übergebenen Dateinamen steuern können, etwa über eine Upload-Funktion.

Betroffen

• transcribe2texts 0 bis 1.0.6
• Versionen neuer als 1.0.6: Unbekannt

Behoben in

• Unbekannt. Es ist keine veröffentlichte, korrigierte Version bekannt.
• Ein Korrekturvorschlag existiert in Pull Request #1 des GitHub-Repositorys (execFile statt exec). Ob er zusammengeführt oder veröffentlicht wurde, ist unbekannt.

Umgehung

• Übergeben Sie an transcribeAudio() nur serverseitig erzeugte Dateipfade, niemals vom Benutzer beeinflusste Zeichenfolgen.
• Übernehmen Sie die Änderung aus Pull Request #1 manuell in Ihrer eigenen Kopie oder entfernen Sie das Paket, bis eine korrigierte Version verfügbar ist.
• Betreiben Sie den Node.js-Prozess mit minimalen Rechten und beschränken Sie seinen Dateisystem- und Netzwerkzugriff.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Durchsuchen Sie alle Projekte, package.json- und Lock-Dateien nach transcribe2texts.
• Prüfen Sie, ob eine Anwendung hochgeladene oder vom Benutzer gelieferte Dateinamen an transcribeAudio() übergibt.
• Entfernen oder isolieren Sie betroffene Komponenten, bis eine korrigierte Version bestätigt ist.
• Überwachen Sie das GitHub-Repository auf eine Veröffentlichung und aktualisieren Sie zeitnah.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110643 vulnerable code: lib/index.js (commit 7e82f96) github.com
• Pull Request #1: Use execFile in transcribeAudio github.com
• VulnCheck advisory: transcribe2texts through 1.0.6 OS command injection www.vulncheck.com
• CWE-78 entry (CIRCL vulnerability lookup) vulnerability.circl.lu
• Strix CVE overview CVE-2026-110643 www.strix.ai
• CIRCL CVE-2026-110643 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:04.