CVE-2026-110639 · CVSS 9.8 · @mborne/extract before 0.2.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying shell …

NVD (CVSS crítico) · 14 oct, 17:17

El paquete npm @mborne/extract anterior a la versión 0.2.1 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos mediante metacaracteres de shell en las opciones archivePath o targetDir. Los atacantes que controlen estos valores pueden inyectar comandos en cadenas exec() sin entrecomillar de shelljs en los extractores unzip, 7z, tar-bz2 y gz, ejecutándolos con privilegios del proceso Node.js.