BDU:2026-04940

Опубликовано: 25 мар. 2026

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции recognize() библиотеки node-tesseract-ocr программной платформы Node.js связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

node-tesseract-ocr

Версия ПО

до 2.2.1 включительно (node-tesseract-ocr)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;

- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;

- использовать execFile() или spawn() с явными аргументами;

- использование валидации путей.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-26832
CVE

EPSS

Процентиль: 75%

0.01706

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2026-26832

CVSS3: 9.8

nvd

5 месяцев назад

node-tesseract-ocr is an npm package that provides a Node.js wrapper for Tesseract OCR. In all versions through 2.2.1, the recognize() function in src/index.js is vulnerable to OS Command Injection. The file path parameter is concatenated into a shell command string and passed to child_process.exec() without proper sanitization

GHSA-8j44-735h-w4w2

CVSS3: 9.8

github

5 месяцев назад

node-tesseract-ocr is vulnerable to OS Command Injection through unsanitized recognize() function parameter

EPSS

Процентиль: 75%

0.01706

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2