compress-fonts (@offactory): OS-Command-Injection über Schriftdateinamen

Zusammenfassung

Das npm-Paket @offactory/compress-fonts vor Version 1.1.1 übergibt Schriftdateipfade ohne Anführungszeichen an einen FontForge-Shellbefehl, der über execSync ausgeführt wird. Ein Angreifer, der eine Schriftdatei mit manipuliertem Dateinamen bereitstellen kann, kann beliebige Shellbefehle mit den Rechten des Node.js-Prozesses ausführen. Voraussetzung ist, dass eine Schriftdatei konvertiert wird, etwa über eine Upload-Funktion oder eine Build-Pipeline mit nicht vertrauenswürdigen Eingaben.

Betroffen

• @offactory/compress-fonts Versionen vor 1.1.1 (CVE-Eintrag: betroffen 0 bis < 1.1.1)
• CVSS 4.0 Basisscore 8.5 (HOCH), Vektor AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N; andere Quellen nennen CVSS 3.1 7.8

Behoben in

• Version 1.1.1 (laut Fix-Pull-Request; im npm-Register noch nicht verifiziert)
• Fix-Commit 12002e5866af2163cd34424baae5a53338951a5d ersetzt execSync durch execFileSync und übergibt die Argumente als Array

Umgehung

• Unbekannt. Keine vom Hersteller veröffentlichte Workaround gefunden.
• Keine nicht vertrauenswürdigen Dateinamen an die Bibliothek übergeben.
• Hochgeladene Dateien vor der Verarbeitung in serverseitig erzeugte Namen umbenennen.
• Den Konvertierungsschritt in einem isolierten Container mit minimalen Rechten ausführen.

Ausnutzung

• RedPacket Security führt keine bekannte Ausnutzung.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Reproduktionsbeispiel existiert im Fix-Pull-Request für Version 1.1.0; Details werden hier nicht veröffentlicht.
• Nach bisheriger Recherche nicht im CISA KEV; Prüfung auf cisa.gov steht noch aus.

Unsere Empfehlung

• Alle Repositories und CI-Images mit npm ls @offactory/compress-fonts auf das Paket prüfen.
• Nach Verifizierung der Version im npm-Register auf 1.1.1 aktualisieren.
• Dienste prüfen, die benutzerseitig hochgeladene Schriftarten konvertieren, und Uploads einschränken oder bereinigen.
• Die Konvertierung in einer isolierten Umgebung mit minimalen Rechten ausführen.
• Auf Herstellerhinweise achten, da noch kein GitHub Security Advisory veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Fix pull request #1 github.com
• Fix commit 12002e5 github.com
• Vulnerable source file index.js github.com
• CVE mirror (cve.threatint.com) cve.threatint.com
• RedPacket Security CVE alert www.redpacketsecurity.com
• npm package @offactory/compress-fonts www.npmjs.com
• OSV entry CVE-2026-110648 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:34.