Turnpress: OS-Command-Injection über manipulierte .docx-Dateinamen

Zusammenfassung

Turnpress bis einschliesslich 0.4.2 enthält eine OS Command Injection (CWE-78). Die Funktion convertDocxToHtml ruft pandoc über execa mit aktivierter Shell auf, daher werden Shell-Metazeichen in einem .docx-Dateinamen mit den Rechten des Benutzers ausgeführt, der convert oder create startet. Für die Ausnutzung ist ein manipulierter Dateiname nötig, den das Tool verarbeitet; das Risiko betrifft vor allem automatisierte oder Batch-Workflows mit Dateien aus unsicheren Quellen. Eine korrigierte Version ist noch nicht veröffentlicht.

Betroffen

• Turnpress (npm-Paket turnpress) Versionen 0 bis einschliesslich 0.4.2
• Standardkonfiguration gemäss Angaben des Herstellers und des CVE-Eintrags

Behoben in

Unbekannt. Kein Hersteller-Release oder Advisory nennt eine korrigierte Version. Ein offener Pull Request (#2) schlägt vor, shell: true aus den execa-Aufrufen zu entfernen.

Umgehung

• Convert- oder create-Befehle nicht auf .docx-Dateien ausführen, deren Namen aus unsicheren Quellen stammen, etwa Uploads, E-Mail-Anhänge oder Freigaben.
• Turnpress in einem isolierten Container oder einer Wegwerf-VM ohne Zugriff auf Geheimnisse betreiben und nicht mit Administratorrechten ausführen.
• Prüfen, ob Projekte oder CI-Pipelines turnpress 0.4.2 oder älter verwenden (z. B. mit npm ls turnpress).
• Optional die im Pull Request #2 vorgeschlagene Änderung in einem privaten Fork anwenden, sofern das Team dies pflegen und testen kann.

Ausnutzung

• In freier Wildbahn ausgenutzt: Nichts bekannt.
• Öffentlicher Exploit oder Proof of Concept: VulDB meldet, dass kein Exploit verfügbar ist.
• Der Autor des Pull Requests berichtet, auf Version 0.4.2 über das CLI eine Befehlsausführung reproduziert zu haben. Dies wurde nicht unabhängig verifiziert.
• CISA KEV: nicht gelistet.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob Turnpress in Ihrer Umgebung installiert ist, insbesondere in CI-Jobs, Build-Servern oder Dokumentations-Workflows.
• Bis zur Verfügbarkeit einer korrigierten Version keine .docx-Dateien aus unsicheren Quellen mit Turnpress verarbeiten.
• Betroffene Instanzen in einer eingeschränkten Umgebung ohne Administratorrechte betreiben.
• Das Upstream-Repository und das npm-Paket auf ein korrigiertes Release überwachen und nach Veröffentlichung umgehend aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Turnpress converter.ts at v0.4.2 github.com
• Turnpress pull request #2 (command injection fix) github.com
• VulnCheck advisory: Turnpress through 0.4.2 OS command injection www.vulncheck.com
• VulDB entry 420030 vuldb.com
• Turnpress GitHub repository github.com
• Strix CVE-2026-110647 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:34.