Veille sécuritéBackend & données
P3Élevée
@offactory/compress-fonts présentait une injection de commandes système lorsque des chemins de polices contrôlés étaient intégrés sans échappement à une commande FontForge. Un attaquant capable de fournir un nom de fichier forgé pouvait exécuter des commandes avec les privilèges du processus Node.js.
Node.js
IdentifiantCVE-2026-110648
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.1.1
Source : NVD — CVE-2026-110648
Analyse technique
Les chemins sont interpolés sans guillemets dans une commande FontForge exécutée par child_process.execSync.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14T15:17:18.510Z, dans la période demandée; cette publication est l’événement retenu.
ImpactExécution de commandes système avec les privilèges du processus Node.js au traitement de fichiers de polices portant des noms forgés.
Versions affectéesVersions antérieures à 1.1.1
Version corrigée1.1.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.5
Publication2026-10-14T15:17:18.510Z
Mise à jour2026-10-14T15:17:18.510Z
Action recommandée
Mettre à niveau @offactory/compress-fonts vers 1.1.1 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).