CVE-2026-43893

exiftool-vendored, ExifTool'a platformlar arası Node.js erişimi sağlar. 35.19.0 sürümünden önce exiftool-vendored, argümanların her satırda bir tane olacak şekilde stdin üzerinden okunduğu -stay_open True -@ - modunda ExifTool'u başlatır. Etkilenen sürümlerde, çağırıcı tarafından sağlanan birkaç dize, satır sınırlayıcıları reddedilmeden ExifTool argümanlarına eklenmiştir. Bu dizelerden birinin içindeki yeni satır veya satır başı karakteri, tek bir amaçlanan argümanı birden fazla ExifTool argümanına bölebilir ve bu durum argüman enjeksiyonuna olanak tanır. Düzeltme ayrıca NUL baytlarını güvenli olmayan kontrol karakterleri olarak reddeder. Saldırgan kontrollü dizeleri etkilenen API'lere ileten uygulamalar; bir saldırganın, ExifTool işleminin erişebildiği dosyaları okumasına veya çıktıları bu işlemin erişebildiği saldırgan tarafından seçilen dosya sistemi yollarına yazmasına izin verebilir. Herhangi bir uzaktan kod çalıştırma örneği gösterilmemiştir. Bu güvenlik açığı 35.19.0 sürümünde giderilmiştir.