video-stitch: OS-Command-Injection über Dateinamen in concat, cut und merge

Zusammenfassung

Die Node.js-Bibliothek video-stitch (npm) setzt Dateinamen unquotiert in FFmpeg-Shell-Befehle ein. Ein Angreifer, der Dateinamen beeinflussen kann, die an concat(), cut() oder merge() übergeben werden, kann Shell-Metazeichen einschleusen und beliebige Befehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko besteht nur dort, wo eine Anwendung benutzerbeeinflusste Datei- oder Ausgabenamen an diese Funktionen übergibt; CISA SSVC bewertet das Problem als automatisierbar mit totaler technischer Auswirkung.

Betroffen

• ArsalanDotMe video-stitch, alle Versionen vor 2.0.0-beta.1 gemäss CVE-Eintrag
• Der Fix-Pull-Request nennt alle veröffentlichten Versionen bis 1.7.1 als betroffen
• Unbekannt, ob andere 2.x-Builds betroffen sind

Behoben in

• 1.x-Linie: Version 1.7.2 (Release-Notes des Herstellers, Fix durch Prozessstart ohne Shell)
• 2.x-Linie: v2.0.0-beta.1 ist eine Neuentwicklung; ein korrigiertes stabiles 2.x-Release ist unbekannt
• Hinweis: Der CVE-Bereich umfasst auch 1.7.2, obwohl der Hersteller diese Version als 1.x-Fix veröffentlicht hat; der CVE-Eintrag kann später aktualisiert werden

Umgehung

• Einen vertrauenswürdigen FFmpeg-Programmpfad konfigurieren
• Eingabevalidierung und Dateizugriffskontrollen auf Anwendungsebene anwenden
• Nicht vertrauenswürdige Datei- oder Ausgabenamen nie an diese Funktionen übergeben
• Den Node.js-Prozess mit minimalen Rechten betreiben
• Die Bibliothek ist kein FFmpeg-Protokoll- oder Medien-Sandbox; diese Massnahmen ersetzen das Patchen nicht

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn in der Recherche gefunden; der CISA-KEV-Katalog wurde nicht direkt geprüft
• CISA SSVC: Ausnutzungsstatus poc, automatisierbar ja, technische Auswirkung total
• Öffentliche technische Details sind im Fix-Pull-Request vorhanden; die Reproduktion wurde nicht verifiziert

Unsere Empfehlung

• Anwendungs-Repositories und Lockfiles nach video-stitch durchsuchen (zum Beispiel mit npm ls video-stitch)
• Auf Version 1.7.2 oder auf ein korrigiertes 2.x-Release aktualisieren, sofern verfügbar
• Die Komponente als hoch priorisiert behandeln, wenn sie aus dem Internet erreichbar ist oder benutzerdefinierte Dateinamen akzeptiert
• Einschränken, welche Dateinamen die Bibliothek erreichen, und den Host auf unerwartete Prozesse überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record context: VulnCheck advisory www.vulncheck.com
• Fix pull request #26 github.com
• Fix commit ba60353 github.com
• Vulnerable code: videoconcat.js github.com
• Vulnerable code: videocut.js github.com
• VideoStitch v1.7.2 release notes github.com
• VideoStitch v2.0.0-beta.1 tag github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:02.