pdf-image has an OS Command Injection Vulnerability through its pdfFilePath parameter

緊急 9.8CVE-2026-26830 · GHSA-q5mh-72xg-628w · 25/03/2026 公開 · 17/06/2026 更新

要点

CVE-2026-26830 は pdf-image (pdf-image project), pdf-image に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.5%（全脆弱性の 84.7% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
pdf-image pdf-image_project	`≤ 2.0.0`	修正版なし
pdf-image npm	`≤ 2.0.0`	修正版なし

概要

pdf-image (npm package) through version 2.0.0 allows OS command injection via the pdfFilePath parameter. The constructGetInfoCommand and constructConvertCommandForPage functions use util.format() to interpolate user-controlled file paths into shell command strings that are executed via child_process.exec().

NVD の説明