CVE-2026-54732
ŚrednieCVSS 6.5Streszczenie
libreoffice-convert to moduł Node.js do konwersji dokumentów biurowych na różne formaty. Przed wersją 1.8.2, index.js używa wartości fileName kontrolowanej przez wywołującego w path.join(tempDir.name, fileName) bez redukcji do nazwy bazowej. Nazwa pliku zawierająca ../ może opuścić katalog tymczasowy, ponieważ brakuje normalizacji path.basename(), i zapisać dostarczony bufor dokumentu w dowolnej ścieżce zapisywalnej przez proces, w tym w pliku authorized_keys SSH, konfiguracji cron lub katalogu głównym serwera WWW.
Ocena ryzyka
Atakujący może zapisać złośliwe pliki w wrażliwych lokalizacjach systemowych, co może prowadzić do przejęcia kontroli nad systemem lub trwałego naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj libreoffice-convert do wersji 1.8.2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
libreoffice-convert is a Node.js module for converting office documents to different formats. Prior to 1.8.2, index.js uses the caller-controlled options.fileName value in path.join(tempDir.name, fileName) without reducing it to a base name. A filename containing ../ can escape the temporary directory because path.basename() normalization is missing and write the supplied document buffer to an arbitrary path writable by the process, including an SSH authorized_keys file, a cron configuration, or a web root. This issue is fixed in version 1.8.2.