CVE-2026-110644 · CVSS 9.8 · nodejs-whisper through 0.3.1 contains an OS command injection vulnerability in convertToWavType() that allows attackers to execute commands …

NVD (CVSS crítico) · 14 oct, 17:17

El paquete nodejs-whisper hasta la versión 0.3.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo en la función convertToWavType() que permite a atacantes ejecutar comandos mediante rutas de archivo de audio manipuladas. Los nombres de archivo con sustitución de comandos $() o comillas de cierre se interpolan en un comando ffmpeg ejecutado vía shelljs exec().