CVE-2026-87794

Les applications utilisant les versions 2.2.6 ou 3.0.2 de `bestzip` sont vulnérables à l'injection de commandes via la fonction `nativeZip`. Un attaquant capable de fournir un chemin de destination ou une entrée source malveillante peut exécuter des commandes système arbitraires avec les mêmes privilèges que le processus Node.js. Cette exploitation est relativement simple à réaliser car elle ne nécessite aucune authentification particulière ni interaction de l'utilisateur, bien qu'elle exige que l'attaquant ait un accès local aux champs de saisie traités par la bibliothèque.