脆弱性の詳細

• CVE ID: CVE-2026-26831
• CWE: CWE-78 - OS コマンドインジェクション
• CVSS 3.1: 9.8（重大）
• ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 影響を受けるコンポーネント:
  • lib/extractors/doc.js
  • lib/extractors/rtf.js
  • lib/extractors/dxf.js
  • lib/extractors/images.js
  • lib/util.js

一例として、doc.js 抽出器があります:

もう一つの例は rtf.js のパス処理で、シェルコマンドを実行する前にスペースのみをエスケープします。これは ;、バッククォート、$() などのメタ文字を阻止できません。

技術的な影響

アプリケーションは多くの場合、ユーザーがアップロードした文書に対して textract を使用します。そのような構成では、悪意のあるファイル名がテキスト抽出中にコマンド実行を引き起こす可能性があります。

概念実証

次のような入力ファイル名:

は、脆弱な抽出器が実行されると、引用符で囲まれたコマンド文字列から抜け出すことができます。

緩和策

本稿執筆時点では、修正済みの npm リリースはありません。

このパッケージに依然として依存している場合は:

1. 攻撃者が制御するファイルパスを textract に渡さないでください。
2. 抽出器のコードからシェル文字列連結を除去してください。
3. exec() を引数安全なプロセス実行に置き換えてください。
4. 保守されているテキスト抽出パイプラインに移行してください。

参照

• https://www.npmjs.com/package/textract
• https://github.com/dbashford/textract
• https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js
• https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js
• https://github.com/dbashford/textract/blob/master/lib/util.js