CVE-2026-110639
Vulnérabilité critique dans @mborne/extract (mborne)
CVSS 9.8 · Critique
EPSS 2.7%
mborne•@mborne/extract•Versions : 0, <0.2.1
Description
@mborne/extract before 0.2.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying shell metacharacters in archivePath or targetDir options. Attackers controlling these values passed to extract() can inject commands into unquoted shelljs exec() strings in the unzip, 7z, tar-bz2 and gz extractors, running them with Node.js process privileges.
Gravité et risque d'exploitation
CVE-2026-110639 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.73 %, ce qui la place devant 85.9 % des CVE référencées.
Que faire ?
- Vérifiez si @mborne/extract (versions 0, <0.2.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/mborne/node-extract/pull/8
- https://github.com/mborne/node-extract/commit/585e5b29657379e73c04f6f950ea8dc5319f8ae1
- https://github.com/mborne/node-extract/releases/tag/v0.2.1
- https://github.com/mborne/node-extract/blob/v0.2.0/src/extractor/unzip.js#L17-L19
- https://www.vulncheck.com/advisories/mborne-extract-before-0.2.1-os-command-injection-via-archivepath-and-targetdir