CVE-2026-26830: pdf-image में OS कमांड इंजेक्शन

सारांश

pdf-image संस्करण 2.0.0 तक pdfFilePath तर्क के माध्यम से OS कमांड इंजेक्शन की अनुमति देता है। पैकेज util.format() के साथ शेल कमांड स्ट्रिंग बनाता है और उन्हें child_process.exec() के साथ निष्पादित करता है। यदि कोई एप्लिकेशन PDFImage में एक हमलावर-नियंत्रित फ़ाइल पथ पास करता है, तो उस पथ में शेल मेटाकैरेक्टर मनमाने कमांड निष्पादन का कारण बन सकते हैं।

प्रभावित उत्पाद

भेद्यता विवरण

• CVE ID: CVE-2026-26830
• CWE: CWE-78 - OS कमांड इंजेक्शन
• CVSS 3.1: 9.8 (क्रिटिकल)
• वेक्टर: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• प्रभावित घटक: index.js

भेद्य कोड पथ constructGetInfoCommand() और constructConvertCommandForPage() तक पहुँचता है, जो child_process.exec() को कॉल करने से पहले PDF पथ को एक शेल कमांड में इंटरपोलेट करते हैं।

तकनीकी प्रभाव

कोई भी एप्लिकेशन जो उपयोगकर्ता-नियंत्रित PDF पथ स्वीकार करता है और इसे pdf-image को पास करता है, होस्ट सिस्टम पर हमलावर-आपूर्ति शेल कमांड निष्पादित कर सकता है।

प्रूफ ऑफ कॉन्सेप्ट

const { PDFImage } = require("pdf-image");

const pdfImage = new PDFImage('test.pdf"; touch /tmp/pwned; echo "');
pdfImage.getInfo();

यदि इंजेक्ट किया गया कमांड चलता है, तो प्रक्रिया /tmp/pwned बनाती है।

शमन

लेखन के समय कोई फिक्स्ड npm रिलीज़ उपलब्ध नहीं है।

यदि आप अभी भी इस पैकेज पर निर्भर हैं:

1. PDFImage में अविश्वसनीय फ़ाइल पथ पास करना बंद करें।
2. शेल-स्ट्रिंग निर्माण को तर्क-सुरक्षित प्रक्रिया निष्पादन से बदलें, जैसे कि सरणी के साथ execFile() या spawn()।
3. एक अनुरक्षित विकल्प या फिक्स के साथ एक निजी फोर्क को प्राथमिकता दें।

संदर्भ

• https://www.npmjs.com/package/pdf-image
• https://github.com/mooz/node-pdf-image
• https://github.com/mooz/node-pdf-image/blob/master/index.js