CVE-2020-37279 — injection de commande dans easy-pdf-merge

Veille sécuritéBackend & données

P3Critique

easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs contrôlées par un utilisateur peuvent donc entraîner l’exécution de commandes avec les privilèges du processus Node.js. Les versions 0.1.0 à 0.2.6 sont concernées ; vérifier les dépendances et remplacer ou retirer les versions vulnérables, car aucun correctif fiable n’a été établi ici.

IdentifiantCVE-2020-37279

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2020-37279

Analyse technique

Injection de commande OS (CWE-78) : child_process.exec() transmet une commande à un shell. Le vecteur CVSS 4.0 est fourni par l’enregistrement consulté.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-12 à 21:17:05 UTC, soit le 2026-10-12 à 23:17:05 +02:00, dans la période demandée. La date publique antérieure mentionnée dans le dossier CVE ne change pas la date de publication NVD retenue pour cet item.

ImpactExécution de commandes système avec les privilèges du processus Node.js.

Versions affectéeseasy-pdf-merge 0.1.0 à 0.2.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.2 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Publication2026-10-12T23:17:05+02:00

Mise à jour2026-10-12T23:17:05+02:00

Action recommandée

Repérer les usages de easy-pdf-merge et ne pas exposer de chemins ou d’options non fiables aux versions 0.1.0–0.2.6. Mettre à niveau uniquement vers une version corrigée confirmée par le mainteneur ; à défaut, retirer ou remplacer la dépendance.

Sources

NVD — CVE-2020-37279

Priorisation DFS : P3 · 1 source(s).