CVE-2026-26833: thumbler における OS コマンドインジェクション

概要

thumbler のバージョン 1.1.2 以前では、lib/thumbler.js の thumbnail() に OS コマンドインジェクションの脆弱性があります。このパッケージは input、output、time、size の値を単一の ffmpeg コマンド文字列に連結し、その文字列を child_process.exec() で実行します。これらの値のいずれかを制御できる攻撃者は、シェル構文を注入して任意のコマンドを実行できます。

影響を受ける製品

脆弱性の詳細

• CVE ID: CVE-2026-26833
• CWE: CWE-78 - OS コマンドインジェクション
• CVSS 3.1: 9.8 (Critical)
• ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 影響を受けるコンポーネント: lib/thumbler.js の thumbnail()

脆弱なコードパスは、次のシェル文字列を構築します。

exec(
  'ffmpeg -ss ' + time + ' -i "' + input + '" -vframes 1 -s ' +
  size + ' "' + output + '"',
  ...
);

コマンドが文字列として組み立てられるため、攻撃者が制御できる各フィールドがインジェクションポイントになり得ます。

技術的な影響

ユーザー制御のメディアからサムネイルを生成するサービスは、thumbnail() を呼び出す際に、ホスト上でコマンドを実行される可能性があります。

概念実証

require("thumbler").thumbnail(
  'test.mp4"; id > /tmp/pwned; echo "',
  "/tmp/out.jpg",
  {},
  () => {}
);

緩和策

執筆時点では、修正済みの npm リリースは利用できません。

このパッケージに依存し続ける場合は、次の対応を行ってください。

1. thumbnail() に信頼できないデータを渡さない。
2. シェル文字列の連結を、引数安全なプロセス実行に置き換える。
3. メンテナンスされているサムネイル生成ライブラリまたは修正済みフォークに移行する。

参考情報

• https://www.npmjs.com/package/thumbler
• https://github.com/mmahrous/thumbler
• https://github.com/mmahrous/thumbler/blob/master/lib/thumbler.js