CVE-2026-26830: Inyección de comandos del sistema operativo en pdf-image

Resumen

pdf-image a través de la versión 2.0.0 permite la inyección de comandos del sistema operativo mediante el argumento pdfFilePath. El paquete construye cadenas de comandos shell con util.format() y las ejecuta con child_process.exec(). Si una aplicación pasa una ruta de archivo controlada por el atacante a PDFImage, los metacaracteres de shell en esa ruta pueden conducir a la ejecución arbitraria de comandos.

Producto afectado

Detalles de la vulnerabilidad

• ID de CVE: CVE-2026-26830
• CWE: CWE-78 - Inyección de comandos del sistema operativo
• CVSS 3.1: 9.8 (Crítico)
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Componente afectado: index.js

La ruta de código vulnerable llega a constructGetInfoCommand() y constructConvertCommandForPage(), ambas interpolan la ruta del PDF en un comando shell antes de llamar a child_process.exec().

Impacto técnico

Cualquier aplicación que acepte una ruta de PDF controlada por el usuario y la pase a pdf-image puede terminar ejecutando comandos shell proporcionados por el atacante en el sistema host.

Prueba de concepto

const { PDFImage } = require("pdf-image");

const pdfImage = new PDFImage('test.pdf"; touch /tmp/pwned; echo "');
pdfImage.getInfo();

Si el comando inyectado se ejecuta, el proceso crea /tmp/pwned.

Mitigación

No hay una versión npm corregida disponible al momento de escribir esto.

Si todavía dependes de este paquete:

1. Deja de pasar rutas de archivo no confiables a PDFImage.
2. Reemplaza la construcción de cadenas de shell con la ejecución de procesos segura con argumentos, como execFile() o spawn() con un array.
3. Prefiere una alternativa mantenida o un fork privado con una corrección.

Referencias

• https://www.npmjs.com/package/pdf-image
• https://github.com/mooz/node-pdf-image
• https://github.com/mooz/node-pdf-image/blob/master/index.js