CVE-2026-78637
Publiée le 2026-08-25 · Dernière modification le 2026-08-26
Les applications utilisant la bibliothèque `node-poppler` (jusqu'aux versions 9.1.2 et 10.0.1) sont vulnérables à l'injection d'arguments via le paramètre `file_path`. Un attaquant distant peut exploiter cette faille pour transmettre des commandes non autorisées aux outils système sous-jacents, ce qui pourrait lui permettre de lire ou de manipuler des fichiers. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was detected in Fdawgs node-poppler up to 9.1.2/10.0.1. The impacted element is the function pdfInfo/pdfToText/pdfToCairo/pdfToPpm/pdfImages/pdfToHtml/pdfToPs/pdfFonts/pdfDetach/pdfAttach/pdfSeparate/pdfUnite of the file src/index.js of the component Argument Injection Handler. Performing a manipulation of the argument file_path results in argument injection. The attack may be initiated remotely. The patch is named db6e3f79d3beb20601be7e59669c39811ae3c330. It is recommended to apply a patch to fix this issue.