Veille sécuritéBackend & données
P3Critique
La version 1.0.2 et les versions antérieures d’office-converter permettent une injection de commandes système via un nom de fichier fourni à `generatePdf()` ou `generateHtml()`. Une entrée malveillante peut exécuter des commandes avec les privilèges du processus Node.js ; aucune version corrigée ni mesure d’atténuation n’est indiquée dans la source.
Node.js
IdentifiantCVE-2020-37282
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2020-37282
Analyse technique
Les valeurs de `fileName` sont concaténées à une commande unoconv exécutée avec `child_process.exec()`, ce qui permet l’injection de commandes shell.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 à 15:16:59.520Z, soit le 2026-10-14 à 17:16:59.520+02:00, dans la période demandée.
ImpactExécution de commandes système avec les privilèges du processus Node.js.
Versions affectéesoffice-converter jusqu’à 1.0.2 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T17:16:59.520+02:00
Mise à jour2026-10-14T17:16:59.520+02:00
Action recommandée
Éviter de transmettre des noms de fichiers contrôlés par un utilisateur à ces fonctions tant qu’une version corrigée n’est pas confirmée.
Sources
Priorisation DFS : P3 · 1 source(s).