CVE-2026-110644

Nome do Software Vulnerável e Versões Afetadas nodejs-whisper versões anteriores a 0.3.2

Descrição Um problema de injeção de comando de SO existe na função convertToWavType(). Isso ocorre quando caminhos de arquivos de áudio manipulados contendo aspas de fechamento ou substituição de comando $() são fornecidos. Essas entradas são interpoladas em um comando ffmpeg executado via shelljs exec(), permitindo a execução de comandos arbitrários do SO com privilégios de processo do Node.js.

Recomendações Atualize o nodejs-whisper para a versão 0.3.2 ou posterior. Como medida paliativa temporária, restrinja o uso da função convertToWavType() ou valide os caminhos dos arquivos de áudio para garantir que não contenham metacaracteres de shell.