CVE-2026-107703

اسم البرنامج المصاب والإصدارات المتأثرة @enmaso/node-convert الإصدارات السابقة لـ 1.0.1

الوصف توجد ثغرة حقن أوامر نظام التشغيل في ملف convert.js. يمكن للمهاجمين تنفيذ أوامر shell بصلاحيات عملية Node.js عن طريق حقن رموز shell الخاصة أو علامة اقتباس مفردة في وسيطي filepath و convertTo. يحدث هذا لأن هذه الوسائط لا يتم تنقيتها بشكل صحيح قبل تمريرها إلى أمر ImageMagick الذي يتم تنفيذه عبر دالة child process.exec().

التوصيات تحديث @enmaso/node-convert إلى إصدار أحدث من 1.0.0. كإجراء تخفيف مؤقت، قم بتقييد أو تنقية وسيطي filepath و convertTo المستخدمين في ملف convert.js لمنع حقن رموز shell الخاصة.