Veille sécuritéBackend & données
P3Critique
Stills présentait une injection de commandes système lors du traitement de chemins de fichiers multimédias forgés. Un attaquant pouvant fournir ces chemins pouvait faire exécuter des commandes avec les privilèges du processus Node.js lorsque des outils tels que ffmpeg, ffprobe, gifsicle ou convert étaient invoqués.
Node.js
IdentifiantCVE-2026-110649
GravitéCritique
Exploitationnon connue / non déterminée
Correctif25.24.2
Source : NVD — CVE-2026-110649
Analyse technique
Des noms contenant des substitutions de commande shell, notamment $(…) ou des accents graves, peuvent être interprétés lors de l’exécution des outils multimédias.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14T15:17:18.650Z, dans la période demandée; cette publication est l’événement retenu.
ImpactExécution de commandes système avec les privilèges du processus Node.js lors du traitement de médias aux chemins forgés.
Versions affectéesVersions antérieures à 25.24.2
Version corrigée25.24.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-14T15:17:18.650Z
Mise à jour2026-10-14T18:17:35.793Z
Action recommandée
Mettre à niveau Stills vers 25.24.2 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).