CVE-2026-26831: OS-Befehlseinschleusung in textract

Zusammenfassung

textract bis einschließlich Version 2.5.0 ermöglicht die OS-Befehlseinschleusung über den Dateipfad, der mehreren Extractors übergeben wird. Mehrere Codepfade übergeben diesen Dateipfad an child_process.exec() mit unzureichender Bereinigung. Ein Angreifer, der den Dateinamen oder -pfad beeinflussen kann, kann die Befehlszeile verlassen und beliebige Befehle auf dem Host ausführen.

Betroffenes Produkt

Schwachstellendetails

• CVE-ID: CVE-2026-26831
• CWE: CWE-78 - OS-Befehlseinschleusung
• CVSS 3.1: 9.8 (Kritisch)
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Betroffene Komponenten:
  • lib/extractors/doc.js
  • lib/extractors/rtf.js
  • lib/extractors/dxf.js
  • lib/extractors/images.js
  • lib/util.js

Ein Beispiel ist der Extractor doc.js:

exec('antiword -m UTF-8.txt "' + filePath + '"', ...)

Ein weiteres Beispiel ist die Pfadverarbeitung in rtf.js, die vor dem Ausführen des Shell-Befehls nur Leerzeichen escaped. Das stoppt Metazeichen wie ;, Backticks oder $() nicht.

Technische Auswirkungen

Anwendungen verwenden textract häufig für vom Benutzer hochgeladene Dokumente. In diesem Szenario kann ein bösartiger Dateiname während der Textextraktion eine Befehlsausführung auslösen.

Proof of Concept

Ein Eingabedateiname wie:

test";whoami;".doc

kann aus der in Anführungszeichen gesetzten Befehlszeichenfolge ausbrechen, wenn der anfällige Extractor ausgeführt wird.

Gegenmaßnahmen

Zum Zeitpunkt der Erstellung dieses Dokuments ist keine behobene npm-Version verfügbar.

Falls Sie weiterhin von diesem Paket abhängig sind:

1. Übergeben Sie keine angreiferkontrollierten Dateipfade an textract.
2. Entfernen Sie die Shell-String-Verkettung aus dem Extractor-Code.
3. Ersetzen Sie exec() durch argumentsichere Prozessausführung.
4. Wechseln Sie zu einer gewarteten Textextraktions-Pipeline.

Referenzen

• https://www.npmjs.com/package/textract
• https://github.com/dbashford/textract
• https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js
• https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js
• https://github.com/dbashford/textract/blob/master/lib/util.js