Stills: OS-Command-Injection über manipulierte Medien-Dateinamen

Zusammenfassung

Die npm-Bibliothek stills vor 25.24.2 enthält eine OS-Command-Injection-Schwachstelle bei der Verarbeitung von Medien-Dateinamen. Ein Angreifer, der eine Mediendatei mit $(...) oder Backticks im Namen erstellen kann, kann beim Ausführen von ffmpeg, ffprobe, gifsicle oder convert Betriebssystembefehle mit den Rechten des Node.js-Prozesses ausführen. Der CNA bewertet die Schwachstelle mit 9.3 (Critical) nach CVSS 4.0, und es ist keine Authentifizierung nötig; das Risiko hängt aber davon ab, ob ein auf stills basierender Dienst Dateien verarbeitet, die Dritte ablegen können.

Betroffen

• stills 0 bis vor 25.24.2 (Bereich laut CNA)
• VulDB listet zusätzlich 25.24.0 und 25.24.1 als betroffen
• Standardkonfiguration: nicht betroffen (laut CNA)

Behoben in

• Auf stills 25.24.2 oder neuer aktualisieren
• 25.24.1 ist unvollständig und muss als verwundbar behandelt werden

Umgehung

• Vom Hersteller ist keine Workaround dokumentiert; die vom Hersteller genannte Massnahme ist das Aktualisieren auf 25.24.2
• Keine unvertrauenswürdigen Mediendateien an stills übergeben
• Schreibzugriff auf Medien- und Synchronisationsordner einschränken

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA-KEV-Status nicht verifiziert
• Kein öffentlicher Exploit gefunden (VulDB: kein verfügbarer Exploit)

Unsere Empfehlung

• In allen Projekten und Node-Anwendungen mit npm ls stills prüfen, ob Versionen vor 25.24.2 vorhanden sind
• Auf 25.24.2 oder neuer aktualisieren und sicherstellen, dass keine 25.24.1-Installationen mehr bestehen
• Hohe Priorität, wenn die Bibliothek in einer aus dem Internet erreichbaren Upload-Pipeline läuft, mittlere Priorität, wenn nur vertrauenswürdige interne Medien verarbeitet werden
• Schreibzugriff auf verarbeitete Medienordner begrenzen und den Prozess mit minimalen Rechten oder in einem Container betreiben
• Auf unerwartete Kindprozesse von Node.js achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Stills before 25.24.2 OS Command Injection via Media File Names www.vulncheck.com
• GitHub pull request #30 (stills) github.com
• Fix commit 51ba953 github.com
• Fix commit 5694b3b github.com
• VulDB entry 419993 vuldb.com
• OSV entry CVE-2026-110649 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:02.