PT-2026-110915
CVE-2020-37279
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
easy-pdf-merge الإصدارات 0.1.0 through 0.2.6
Description
يسمح خلل في حقن أوامر نظام التشغيل للمهاجمين بتنفيذ أوامر عشوائية عن طريق حقن رموز shell الوصفية في مسارات المصدر، أو مسار الوجهة، أو خيار
maxHeap. يحدث هذا لأن الدالة child process.exec() تقوم بتشغيل هذه المدخلات عبر shell باستخدام صلاحيات عملية Node.js. يمكن للمهاجمين تفعيل ذلك من خلال تقديم أسماء ملفات أو خيارات تحتوي على علامات اقتباس مزدوجة، أو فواصل منقوطة، أو $() أو علامات backticks.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾