CVE-2026-26832: Iniezione di comandi del sistema operativo in node-tesseract-ocr

Riepilogo

node-tesseract-ocr fino alla versione 2.2.1 consente l'iniezione di comandi del sistema operativo in recognize() in src/index.js. Il pacchetto costruisce una stringa di comando shell e la esegue con child_process.exec(). Poiché il percorso di input è racchiuso solo tra doppi apici, un attaccante può iniettare sintassi shell tramite un percorso di file appositamente creato.

Prodotto interessato

Dettagli della vulnerabilità

• CVE ID: CVE-2026-26832
• CWE: CWE-78 - Iniezione di comandi del sistema operativo
• CVSS 3.1: 9.8 (Critico)
• Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Componente interessato: src/index.js, recognize()

Il pattern vulnerabile è:

const command = [binary, inputOption, "stdout", ...options].join(" ");
exec(command, ...);

Quella stringa di comando eredita l'interpretazione della shell. Un percorso di file dannoso può fuoriuscire dall'argomento tra virgolette.

Impatto tecnico

Le applicazioni che eseguono OCR su immagini fornite dagli utenti possono esporre il sistema host all'esecuzione di comandi se passano percorsi non attendibili a recognize().

Prova di concetto

test.jpg"; touch /tmp/pwned; echo "x

Mitigazione

Nessuna release npm corretta è disponibile al momento della stesura.

Se dipendi ancora da questo pacchetto:

1. Tratta i percorsi di input come non attendibili.
2. Smetti di costruire stringhe di comando shell con join(" ").
3. Usa execFile() o spawn() con argomenti espliciti.
4. Passa a un wrapper mantenuto o chiama Tesseract in modo sicuro dal tuo codice.

Riferimenti

• https://www.npmjs.com/package/node-tesseract-ocr
• https://github.com/zapolnoch/node-tesseract-ocr
• https://github.com/zapolnoch/node-tesseract-ocr/blob/master/src/index.js