CVE-2026-26830：pdf-image 中的 OS 命令注入

摘要

pdf-image 直到版本 2.0.0 均存在通过 pdfFilePath 参数导致的 OS 命令注入漏洞。该包使用 util.format() 构建 shell 命令字符串，并通过 child_process.exec() 执行。如果应用程序将攻击者控制的文件路径传入 PDFImage，该路径中的 shell 元字符可能导致任意命令执行。

受影响产品

漏洞详情

• CVE ID：CVE-2026-26830
• CWE：CWE-78 - OS 命令注入
• CVSS 3.1：9.8（严重）
• 攻击向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 受影响组件：index.js

易受攻击的代码路径会进入 constructGetInfoCommand() 和 constructConvertCommandForPage()，两者在调用 child_process.exec() 之前都会将 PDF 路径插入到 shell 命令中。

技术影响

任何接受用户可控 PDF 路径并将其传给 pdf-image 的应用程序，最终都可能在主机系统上执行攻击者提供的 shell 命令。

概念验证

const { PDFImage } = require("pdf-image");

const pdfImage = new PDFImage('test.pdf"; touch /tmp/pwned; echo "');
pdfImage.getInfo();

如果注入的命令被执行，进程会创建 /tmp/pwned。

缓解措施

截至撰写本文时，尚无修复版 npm 发布可用。

如果您仍依赖此包：

1. 停止将不受信任的文件路径传入 PDFImage。
2. 改用参数安全的进程执行方式（如 execFile() 或使用数组参数的 spawn()）替代 shell 字符串拼接。
3. 优先选择有维护的替代库或包含修复的私有分支。

参考链接

• https://www.npmjs.com/package/pdf-image
• https://github.com/mooz/node-pdf-image
• https://github.com/mooz/node-pdf-image/blob/master/index.js