Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2026-26830 — pdf-image에 대한 보안 권고 ⌯⌲ 주간 다운로드 10 000회 | Kitploit
도구/GitHubGitHub/zebberncve/cve-2026-26830
Vulnerability AnalysisCode AnalysisExploitationWeb SecuritySupply Chain SecurityLearning & Education
GitHubzebberncve/cve-2026-26830

CVE-2026-26830

pdf-image에 대한 보안 권고 ⌯⌲ 주간 다운로드 10 000회

저장소 보기
35개월 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
웹사이트
공유

CVE-2026-26830: pdf-image의 OS 명령 삽입

요약

pdf-image 버전 2.0.0까지는 pdfFilePath 인자를 통해 OS 명령 삽입이 가능합니다. 이 패키지는 util.format()으로 셸 명령 문자열을 구성한 다음 child_process.exec()로 실행합니다. 애플리케이션이 공격자가 제어하는 파일 경로를 PDFImage에 전달하면 해당 경로의 셸 메타문자로 인해 임의의 명령 실행으로 이어질 수 있습니다.

영향받는 제품

제품영향받는 버전수정 버전
pdf-image2.0.0까지의 모든 버전2026-03-24 기준 수정 버전 없음

취약점 세부 정보

  • CVE ID: CVE-2026-26830
  • CWE: CWE-78 - OS 명령 삽입
  • CVSS 3.1: 9.8 (심각)
  • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • 영향받는 구성 요소: index.js

취약한 코드 경로는 constructGetInfoCommand()와 constructConvertCommandForPage()에 도달하며, 두 함수 모두 child_process.exec()를 호출하기 전에 PDF 경로를 셸 명령에 삽입합니다.

기술적 영향

사용자가 제어하는 PDF 경로를 입력받아 pdf-image에 전달하는 모든 애플리케이션은 호스트 시스템에서 공격자가 공급한 셸 명령을 실행하게 될 수 있습니다.

개념 증명

root@kitploit:~
const { PDFImage } = require("pdf-image");

const pdfImage = new PDFImage('test.pdf"; touch /tmp/pwned; echo "');
pdfImage.getInfo();

삽입된 명령이 실행되면 프로세스가 /tmp/pwned 파일을 생성합니다.

완화 조치

이 글을 작성하는 시점에 수정된 npm 릴리스는 없습니다.

여전히 이 패키지에 의존해야 한다면:

  1. 신뢰할 수 없는 파일 경로를 PDFImage에 전달하지 마세요.
  2. 셸 문자열 구성 대신 execFile() 또는 배열을 사용하는 spawn() 같은 인자-안전한 프로세스 실행 방식으로 대체하세요.
  3. 유지 관리되는 대안이나 수정 사항이 포함된 private 포크를 선호하세요.

참고 자료

  • https://www.npmjs.com/package/pdf-image
  • https://github.com/mooz/node-pdf-image
  • https://github.com/mooz/node-pdf-image/blob/master/index.js
도구 다운로드