← Haberler
Office-Converter 1.0.2'de OS komut enjeksiyonu açığı kritik seviyede
Yapay zeka üretimi15.10.2026
- CVE
- CVE-2020-37282
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
Office-Converter 1.0.2 sürümünde, dosya adı üzerinden işletim sistemi komutu çalıştırılmasına izin veren bir güvenlik açığı bulunmuştur.
Ayrıntılar
NVD kaydına göre, Office-Converter 1.0.2 sürümünde OS komut enjeksiyonu (OS command injection) açığı vardır. Saldırganlar, generatePdf() veya generateHtml() fonksiyonlarına özel hazırlanmış bir dosya adı göndererek, unoconv komut satırına eklenen shell karakterleri sayesinde Node.js sürecinin yetkileriyle komut çalıştırabilir. Açığın ciddiyeti kritik (CVSS 9.8) olarak değerlendirilmiştir.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, bir güncelleme yayınlandığında hemen uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.