CVE-2020-37282 · CVSS 9.8 · office-converter through 1.0.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying a …

NVD (CVSS crítico) · 14 oct, 17:16

La librería npm office-converter en versiones hasta 1.0.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite ejecutar código arbitrario a través de nombres de archivo malformados en las funciones generatePdf() y generateHtml(). Los atacantes pueden incrustar metacaracteres de shell en el nombre del fichero para escapar la ejecución con privilegios del proceso Node.js.