CVE-2026-26830: pdf-image における OS コマンドインジェクション

概要

pdf-image のバージョン 2.0.0 までには、pdfFilePath 引数を介した OS コマンドインジェクションの脆弱性があります。このパッケージは util.format() でシェルコマンド文字列を構築し、child_process.exec() で実行します。アプリケーションが攻撃者によって制御されたファイルパスを PDFImage に渡すと、そのパスに含まれるシェルのメタ文字によって任意のコマンドが実行される可能性があります。

影響を受ける製品

脆弱性の詳細

• CVE ID: CVE-2026-26830
• CWE: CWE-78 - OS コマンドインジェクション
• CVSS 3.1: 9.8 (緊急)
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 影響を受けるコンポーネント: index.js

脆弱なコードパスは constructGetInfoCommand() と constructConvertCommandForPage() に到達し、いずれも child_process.exec() を呼び出す前に PDF パスをシェルコマンドに展開します。

技術的影響

ユーザーが制御する PDF パスを受け入れ、それを pdf-image に渡すアプリケーションは、ホストシステム上で攻撃者によって提供されたシェルコマンドを実行してしまう可能性があります。

概念実証

const { PDFImage } = require("pdf-image");

const pdfImage = new PDFImage('test.pdf"; touch /tmp/pwned; echo "');
pdfImage.getInfo();

注入したコマンドが実行されると、プロセスは /tmp/pwned を作成します。

緩和策

本稿執筆時点では、修正済みの npm リリースは提供されていません。

引き続きこのパッケージに依存する場合は、以下の対応を行ってください：

1. 信頼できないファイルパスを PDFImage に渡すのをやめてください。
2. シェル文字列の構築を、配列を渡す execFile() や spawn() などの引数安全なプロセス実行に置き換えてください。
3. メンテナンスされている代替パッケージ、または修正を含むプライベートフォークを優先してください。

参照

• https://www.npmjs.com/package/pdf-image
• https://github.com/mooz/node-pdf-image
• https://github.com/mooz/node-pdf-image/blob/master/index.js