CVE-2026-110650 · CVSS 9.8 · The thumbnail Python package through 1.5 contains an OS command injection vulnerability in generate_thumbnail() that allows attackers to …

NVD (CVSS crítico) · 14 oct, 17:17

El paquete Python thumbnail hasta versión 1.5 contiene una vulnerabilidad de inyección de comandos OS en la función generate_thumbnail() que permite a atacantes ejecutar comandos a través de metacaracteres de shell en rutas de archivo. Un atacante que controle el nombre de un fichero —como en una carga de usuario— puede inyectar comandos en llamadas a os.system() que ejecutan ffmpeg, convert o unoconv con los privilegios del proceso Python.