Veille sécuritéBackend & données
P3Critique
Le paquet `@enmaso/node-convert` passe des arguments de fichier non assainis à une commande ImageMagick exécutée par `child_process.exec()`, permettant une injection de commandes. Les commandes s’exécutent avec les privilèges du processus Node.js.
Node.js
IdentifiantCVE-2026-107703
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107703
Analyse technique
Les arguments `filepath` et `convertTo` peuvent contenir des métacaractères shell ou une apostrophe exploitant la commande exécutée dans `convert.js`.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-08 à 19:17:02.720Z.
ImpactExécution de commandes système avec les privilèges du processus Node.js.
Versions affectées@enmaso/node-convert jusqu’à la version 1.0.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-08T19:17:02.720Z
Mise à jour2026-10-08T21:35:53.890Z
Sources
Priorisation DFS : P3 · 1 source(s).