CVE-2026-110650
CVE-2026-110650 · Thumbnail through 1.5 OS Command Injection via generate_thumbnail File Paths
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
The thumbnail Python package through 1.5 contains an OS command injection vulnerability in generate_thumbnail() that allows attackers to execute commands by supplying shell metacharacters in file paths. Attackers who control a file name passed to generate_thumbnail, such as an uploaded file, can inject commands into os.system() calls running ffmpeg, convert or unoconv with the Python process privileges.
CVSS 9.3 · Kritisch · EPSS 3,0%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
thumbnail
- Softwareversionen
- ≥ 0, ≤ 1.5: Betroffen (custom)
Keine Korrektur veröffentlicht
Originalquellen
- https://github.com/anshulkharb/thumbnail/pull/9
- https://github.com/anshulkharb/thumbnail/blob/23b2e30509c936872a3bafac65b4aa48777e794c/thumbnail/thumbnail.py#L100-L114
- https://www.vulncheck.com/advisories/thumbnail-through-1.5-os-command-injection-via-generate-thumbnail-file-paths
- https://nvd.nist.gov/vuln/detail/CVE-2026-110650