CVE-2026-26831: حقن أوامر نظام التشغيل في textract

ملخص

تسمح الحزمة textract حتى الإصدار 2.5.0 بحقن أوامر نظام التشغيل عبر مسار الملف المُمرَّر إلى مستخرجات متعددة. تمرّر عدة مسارات برمجية ذلك المسار إلى child_process.exec() دون تعقيم كافٍ. يمكن للمهاجم الذي يستطيع التأثير على اسم الملف أو مساره الخروج من سطر الأوامر وتنفيذ أوامر تعسفية على المضيف.

المنتج المتأثر

تفاصيل الثغرة

• معرّف CVE: CVE-2026-26831
• CWE: CWE-78 - حقن أوامر نظام التشغيل
• CVSS 3.1: 9.8 (حرجة)
• المتجه: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• المكوّنات المتأثرة:
  • lib/extractors/doc.js
  • lib/extractors/rtf.js
  • lib/extractors/dxf.js
  • lib/extractors/images.js
  • lib/util.js

أحد الأمثلة هو مستخرج doc.js:

exec('antiword -m UTF-8.txt "' + filePath + '"', ...)

مثال آخر هو معالجة المسار في rtf.js، والتي تكتفي بتهريب المسافات قبل تنفيذ أمر الصدفة. وهذا لا يمنع الأحرف الوصفية مثل ; أو علامات الاقتباس الخلفية أو $().

الأثر التقني

غالباً ما تستخدم التطبيقات textract مع المستندات التي يرفعها المستخدمون. في هذا الإعداد، يمكن لاسم ملف خبيث أن يتسبب في تنفيذ أوامر أثناء استخراج النص.

إثبات المفهوم

اسم ملف إدخال مثل:

test";whoami;".doc

يمكنه الخروج من سلسلة الأوامر المقتبسة عند تشغيل المستخرج المتأثر.

التخفيف

لا يتوفر إصدار npm مُصلَح وقت كتابة هذا التقرير.

إذا كنت لا تزال تعتمد على هذه الحزمة:

1. لا تمرّر مسارات ملفات يتحكم فيها المهاجم إلى textract.
2. أزل وصل سلاسل أوامر الصدفة من كود المستخرجات.
3. استبدل exec() بتنفيذ عمليات آمن من ناحية الوسائط.
4. انتقل إلى خط أنابيب استخراج نص مُصان.

المراجع

• https://www.npmjs.com/package/textract
• https://github.com/dbashford/textract
• https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js
• https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js
• https://github.com/dbashford/textract/blob/master/lib/util.js