Veille sécuritéBackend & données
P3Critique
Avant la version 3.0.0, webp-converter permet une injection de commandes via des noms de fichiers ou des options contrôlés transmis à ses fonctions de conversion. L’exécution de commandes système peut se faire avec les privilèges du processus Node.js ; mettre à jour vers la version 3.0.0 ou ultérieure.
Node.js
IdentifiantCVE-2026-110635
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.0.0
Source : NVD — CVE-2026-110635
Analyse technique
Des appels à des binaires libwebp utilisent `execFile` avec l’option shell activée, rendant exploitables certains arguments fournis par l’appelant.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 à 15:17:16.560Z, soit le 2026-10-14 à 17:17:16.560+02:00, dans la période demandée.
ImpactExécution de commandes système avec les privilèges du processus Node.js.
Versions affectéeswebp-converter avant 3.0.0
Version corrigée3.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T17:17:16.560+02:00
Mise à jour2026-10-14T17:17:16.560+02:00
Action recommandée
Mettre à jour webp-converter vers la version 3.0.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).