Veille sécuritéBackend & données
P3Critique
Video-stitch présentait une injection de commandes système lorsque des noms de fichiers contrôlés étaient interpolés sans échappement dans des commandes ffmpeg. Un attaquant pouvant fournir des noms transmis à concat(), cut() ou merge() pouvait exécuter des commandes avec les privilèges du processus Node.js.
Node.js
IdentifiantCVE-2026-110645
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.0.0-beta.1
Source : NVD — CVE-2026-110645
Analyse technique
Les noms de fichiers sont interpolés sans guillemets dans des commandes ffmpeg exécutées par le shell.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14T15:17:18.090Z, dans la période demandée; cette publication est l’événement retenu.
ImpactExécution de commandes système avec les privilèges du processus Node.js si un attaquant peut contrôler les noms de fichiers concernés.
Versions affectéesVersions antérieures à 2.0.0-beta.1
Version corrigée2.0.0-beta.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T15:17:18.090Z
Mise à jour2026-10-14T21:17:35.830Z
Action recommandée
Mettre à niveau Video-stitch vers 2.0.0-beta.1 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).