CVE-2026-110638 · CVSS 9.8 · doc-recog through 1.1.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted …

NVD (CVSS crítico) · 14 oct, 17:17

El paquete npm doc-recog en versiones hasta 1.1.6 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos arbitrarios mediante rutas de documento manipuladas. La flaw afecta a las funciones recog() y tag(), que pasan rutas a una llamada exec() basada en shell sin sanitizar, permitiendo inyección mediante $(...) o backticks.