CVE-2026-107703 · CVSS 9.8 · @enmaso/node-convert through 1.0.0 contains an OS command injection vulnerability in convert.js that allows attackers to execute shell …

NVD (CVSS crítico) · 8 oct, 21:17

La librería npm @enmaso/node-convert hasta la versión 1.0.0 contiene una vulnerabilidad de inyección de comandos OS en convert.js que permite a atacantes ejecutar comandos shell a través de los argumentos filepath y convertTo sin sanitizar. Los atacantes pueden inyectar metacaracteres de shell en el comando ImageMagick ejecutado por child_process.exec() con los privilegios del proceso Node.js.