CVE-2026-110635 · CVSS 9.8 · webp-converter before 3.0.0 contains an OS command injection vulnerability in src/webpconverter.js helpers that run libwebp binaries via …

NVD (CVSS crítico) · 14 oct, 17:17

El paquete npm webp-converter anterior a la versión 3.0.0 contiene una vulnerabilidad de inyección de comandos del sistema operativo en src/webpconverter.js que permite a atacantes ejecutar comandos arbitrarios inyectando metacaracteres de shell en nombres de archivo u opciones pasadas a las funciones cwebp, dwebp, gwebp o webpmux.