CVE-2026-105691

Nome do Software Vulnerável e Versões Afetadas Penpot versões anteriores a 2.18.0

Description O exportador de SVG manipula incorretamente o valor de cor de preenchimento (fill-color) de um objeto de texto, inserindo-o em uma string de comando ppmcolormask que é então executada via child process.exec. Um invasor com permissões de edição de arquivo ou que forneça um arquivo malicioso por meio de um link de compartilhamento público pode injetar metacaracteres de shell na cor de preenchimento para executar comandos arbitrários com os privilégios do serviço exportador.

Recommendations Atualize para a versão 2.18.0.