CVE-2026-43893

exiftool-vendored, ExifTool-a çarpaz platformalı Node.js girişini təmin edir. 35.19.0 versiyasından əvvəl exiftool-vendored, arqumentlərin hər sətirdə bir dənə olmaqla stdin-dən oxunduğu -stay_open True -@ - rejimində ExifTool-u başladır. Təsirə məruz qalan versiyalarda, çağırıcı tərəfindən təqdim edilən bir neçə sətir ayırıcısı rədd edilmədən ExifTool arqumentlərinə interpolasiya edilmişdir. Bu sətirlərdən birinin daxilindəki yeni sətir və ya carriage return simvolu, nəzərdə tutulmuş tək bir arqumenti çox sayda ExifTool arqumentinə bölə bilər ki, bu da arqument inyeksiyasına yol açır. Düzəliş həmçinin NUL baytlarını təhlükəsiz olmayan idarəetmə simvolları kimi rədd edir. Hücumçu tərəfindən idarə olunan sətirləri təsirlənmiş API-lara ötürən tətbiqlər, hücumçuya ExifTool prosesi üçün əlçatan olan faylların oxunmasına və ya çıxışın həmin proses üçün əlçatan olan hücumçu tərəfindən seçilmiş fayl sistemi yollarına yazılmasına şərait yarada bilər. Heç bir uzaqdan kodun icrası nümayiş etdirilməmişdir. Bu zəiflik 35.19.0 versiyasında aradan qaldırılmışdır.