CVE-2026-26833: OS-Befehlsinjektion in thumbler

Zusammenfassung

thumbler bis einschließlich Version 1.1.2 ermöglicht eine OS-Befehlsinjektion in thumbnail() in lib/thumbler.js. Das Paket verkettet die Werte input, output, time und size zu einem einzigen ffmpeg-Befehlsstring und führt diesen String mit child_process.exec() aus. Ein Angreifer, der einen dieser Werte kontrolliert, kann Shell-Syntax injizieren und beliebige Befehle ausführen.

Betroffenes Produkt

Produkt	Betroffene Versionen	Behobene Version
thumbler	alle Versionen bis einschließlich 1.1.2	kein Fix verfügbar (Stand: 2026-03-24)

Details zur Schwachstelle

CVE-ID: CVE-2026-26833
CWE: CWE-78 - OS-Befehlsinjektion
CVSS 3.1: 9.8 (Kritisch)
Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Betroffene Komponente: lib/thumbler.js, thumbnail()

Der verwundbare Codepfad erstellt den folgenden Shell-String:

exec(
  'ffmpeg -ss ' + time + ' -i "' + input + '" -vframes 1 -s ' +
  size + ' "' + output + '"',
  ...
);

Da der Befehl als String zusammengesetzt wird, ist jedes vom Angreifer kontrollierte Feld ein möglicher Injektionspunkt.

Technische Auswirkungen

Jeder Dienst, der Thumbnails aus nutzergesteuerten Medien erzeugt, kann beim Aufruf von thumbnail() letztendlich dazu führen, dass Befehle auf dem Host ausgeführt werden.

Proof of concept

require("thumbler").thumbnail(
  'test.mp4"; id > /tmp/pwned; echo "',
  "/tmp/out.jpg",
  {},
  () => {}
);

Gegenmaßnahmen

Zum Zeitpunkt der Erstellung dieses Dokuments ist kein npm-Release mit Fix verfügbar.

Falls Sie weiterhin von diesem Paket abhängig sind:

Übergeben Sie keine nicht vertrauenswürdigen Daten an thumbnail().
Ersetzen Sie die Shell-String-Verkettung durch eine argumentsichere Prozessausführung.
Wechseln Sie zu einer gepflegten Bibliothek zur Thumbnail-Generierung oder einem Fork mit Fix.

CVE-2026-26833

Beliebteste