Descripción
office-converter hasta la versión 1.0.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes ejecutar comandos al proporcionar un fileName especialmente manipulado a generatePdf() o generateHtml(). Los atacantes pueden incluir $(...), comillas invertidas o una comilla de cierre con metacaracteres de shell en el nombre de archivo, que se concatena en un comando unoconv ejecutado mediante child_process.exec(), lo que ejecuta comandos con los privilegios del proceso de Node.js.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- office-converter Afectadas: hasta 1.0.2
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/advisories/GHSA-9p64-h5q4-phpm
- Parchegithub.com/vworld4u/office-converter/pull/9
- Referencia en github.comgithub.com/vworld4u/office-converter/blob/b1ea855d0001dc7a5d663436986…
- Aviso de vulncheck.comvulncheck.com/advisories/office-converter-through-1.0.2-os-command-in…
Ver el texto original en inglés (CVE.org)
office-converter through 1.0.2 OS Command Injection via fileName in generatePdf
office-converter through 1.0.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying a crafted fileName to generatePdf() or generateHtml(). Attackers can embed $(...), backticks, or a closing quote with shell metacharacters in the file name, which is concatenated into an unoconv command run via child_process.exec(), executing commands with Node.js process privileges.