Veille sécuritéBackend & données
P3Critique
Les versions de @mborne/extract antérieures à 0.2.1 sont vulnérables à une injection de commandes via `archivePath` ou `targetDir` transmis à `extract()`. L’attaque peut exécuter des commandes avec les privilèges du processus Node.js ; mettre à jour vers la version 0.2.1 ou ultérieure.
Node.js
IdentifiantCVE-2026-110639
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.2.1
Source : NVD — CVE-2026-110639
Analyse technique
Les chemins et répertoires sont incorporés dans des commandes `shelljs.exec()` non citées pour plusieurs extracteurs d’archives.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 à 15:17:17.130Z, soit le 2026-10-14 à 17:17:17.130+02:00, dans la période demandée.
ImpactExécution de commandes système avec les privilèges du processus Node.js.
Versions affectées@mborne/extract avant 0.2.1
Version corrigée0.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T17:17:17.130+02:00
Mise à jour2026-10-14T20:17:35.547+02:00
Action recommandée
Mettre à jour @mborne/extract vers la version 0.2.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).