Skip to content
KitploitKITPLOIT
FerramentasBlog
Enviar
FerramentasBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
CVE-2026-26831 — Aviso para textract ⌯⌲ 15 000 downloads semanais | Kitploit
Ferramentas/GitHubGitHub/zebberncve/cve-2026-26831
Análise de VulnerabilidadesAnálise de CódigoExploraçãoExploração de Aplicações WebSegurança da Cadeia de SuprimentosAprendizado e Educação
GitHubzebberncve/cve-2026-26831

CVE-2026-26831

Aviso para textract ⌯⌲ 15 000 downloads semanais

Ver Repositório
4há 5 mesesAinda não revisado
Site

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

CVE-2026-26831: Injeção de comandos do sistema operacional em textract

Resumo

O textract até a versão 2.5.0 permite injeção de comandos do sistema operacional por meio do caminho do arquivo fornecido a vários extratores. Vários caminhos de código passam esse caminho de arquivo para child_process.exec() com sanitização inadequada. Um atacante que possa influenciar o nome ou o caminho do arquivo pode sair da linha de comando e executar comandos arbitrários no host.

Produto afetado

ProdutoVersões afetadasVersão corrigida
textracttodas as versões até 2.5.0nenhuma correção disponível até 2026-03-24

Detalhes da vulnerabilidade

  • CVE ID: CVE-2026-26831
  • CWE: CWE-78 - Injeção de comandos do SO
  • CVSS 3.1: 9.8 (Crítico)
  • Vetor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Componentes afetados:
    • lib/extractors/doc.js
    • lib/extractors/rtf.js
    • lib/extractors/dxf.js
    • lib/extractors/images.js
    • lib/util.js

Um exemplo é o extrator doc.js:

root@kitploit:~
exec('antiword -m UTF-8.txt "' + filePath + '"', ...)

Outro é o tratamento do caminho em rtf.js, que apenas escapa espaços antes de executar o comando shell. Isso não impede metacaracteres como ;, crases ou $().

Impacto técnico

Aplicações costumam usar textract em documentos enviados por usuários. Nesse cenário, um nome de arquivo malicioso pode acionar a execução de comandos durante a extração de texto.

Prova de conceito

Um nome de arquivo de entrada como:

root@kitploit:~
test";whoami;".doc

pode sair da string de comando entre aspas quando o extrator vulnerável é executado.

Mitigação

Nenhuma versão corrigida no npm está disponível no momento em que este texto foi escrito.

Se você ainda depende deste pacote:

  1. Não passe caminhos de arquivo controlados pelo atacante para textract.
  2. Remova a concatenação de strings de shell do código dos extratores.
  3. Substitua exec() por execução de processos segura quanto a argumentos.
  4. Migre para um pipeline de extração de texto mantido.

Referências

  • https://www.npmjs.com/package/textract
  • https://github.com/dbashford/textract
  • https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js
  • https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js
  • https://github.com/dbashford/textract/blob/master/lib/util.js
Baixar ferramenta