CVE-2026-26831：textract 中的操作系统命令注入

摘要

textract 2.5.0 及之前的所有版本允许通过提供给多个提取器的文件路径进行操作系统命令注入。多条代码路径在清理不充分的情况下将该文件路径传入 child_process.exec()。能够影响文件名或路径的攻击者可以逃逸出命令行并在主机上执行任意命令。

受影响产品

漏洞详情

• CVE ID：CVE-2026-26831
• CWE：CWE-78 - 操作系统命令注入
• CVSS 3.1：9.8（严重）
• 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 受影响组件：
  • lib/extractors/doc.js
  • lib/extractors/rtf.js
  • lib/extractors/dxf.js
  • lib/extractors/images.js
  • lib/util.js

其中一个示例是 doc.js 提取器：

exec('antiword -m UTF-8.txt "' + filePath + '"', ...)

另一个是 rtf.js 的路径处理，它在执行 shell 命令前仅转义空格。这无法阻止诸如 ;、反引号或 $() 等元字符。

技术影响

应用程序通常在用户上传的文档上使用 textract。在这种场景下，恶意文件名可以在文本提取过程中触发命令执行。

概念验证

例如，以下输入文件名：

test";whoami;".doc

在易受攻击的提取器运行时，可以逃逸出带引号的命令字符串。

缓解措施

截至撰写本文时，尚无已修复的 npm 版本发布。

如果您仍依赖此包：

1. 不要将攻击者控制的文件路径传递给 textract。
2. 从提取器代码中移除 shell 字符串拼接。
3. 将 exec() 替换为参数安全的进程执行方式。
4. 迁移到持续维护的文本提取管道。

参考资料

• https://www.npmjs.com/package/textract
• https://github.com/dbashford/textract
• https://github.com/dbashford/textract/blob/master/lib/extractors/doc.js
• https://github.com/dbashford/textract/blob/master/lib/extractors/rtf.js
• https://github.com/dbashford/textract/blob/master/lib/util.js