CVE-2026-110644

اسم البرنامج المصاب والإصدارات المتأثرة nodejs-whisper الإصدارات السابقة لـ 0.3.2

الوصف توجد ثغرة حقن أوامر نظام التشغيل في الدالة convertToWavType(). يحدث هذا عند تقديم مسارات ملفات صوتية مصممة خصيصاً تحتوي على علامات اقتباس إغلاق أو استبدال أوامر $(). يتم دمج هذه المدخلات في أمر ffmpeg يتم تنفيذه عبر shelljs exec()، مما يسمح بتنفيذ أوامر نظام تشغيل عشوائية بصلاحيات عملية Node.js.

التوصيات تحديث nodejs-whisper إلى الإصدار 0.3.2 أو أحدث. كإجراء مؤقت، قم بتقييد استخدام الدالة convertToWavType() أو تحقق من مسارات ملفات الصوت للتأكد من عدم احتوائها على رموز خاصة بصدفة النظام (shell metacharacters).