Veille sécuritéBackend & données
P3Critique
Le paquet `ppt2png` utilise `child_process.exec()` avec des chemins d’entrée ou de sortie non assainis, ce qui permet une injection de commandes système. Les commandes injectées s’exécutent avec les privilèges du processus Node.js.
Node.js
IdentifiantCVE-2026-107699
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107699
Analyse technique
Les arguments de chemin transmis à `child_process.exec()` dans `ppt2png.js` ne sont pas assainis ; des métacaractères shell peuvent déclencher l’exécution de commandes.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-08 à 19:17:01.853Z.
ImpactExécution de commandes système avec les privilèges du processus Node.js qui utilise le paquet.
Versions affectéesppt2png jusqu’à la version 0.0.6 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-08T19:17:01.853Z
Mise à jour2026-10-08T21:35:53.890Z
Sources
Priorisation DFS : P3 · 1 source(s).