CVE-2026-110635
Kritik
Açıklama
3.0.0 öncesindeki webp-converter, libwebp ikililerini shell etkinleştirilmiş şekilde execFile aracılığıyla çalıştıran src/webpconverter.js yardımcılarında bir OS komut enjeksiyonu zafiyeti içermektedir. cwebp, dwebp, gwebp veya webpmux fonksiyonlarına iletilen dosya adlarını veya seçenek dizelerini kontrol eden saldırganlar, Node.js işlemi olarak OS komutları yürütmek için shell meta karakterleri enjekte edebilirler.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünScionoftech Webp-converter
Yayın14 Eki 2026
İlk görülme14 Eki 2026
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- scionoftech webp-converter3.0.0 ya da sonraki bir sürüm
Yamalar
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| scionoftech webp-converter | v < 3.0.0 | 3.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.