- Son 7 gün
- CWE-77
- CWE-78
CVE-2026-117511
node-tesseract tesseract.js process fonksiyonunda işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, kullanılan bir yazılım bileşeninde uzaktan saldırıya izin verebilmektedir ve saldırı kodu kamuya açıktır. Etkilenen sistemlerde ele geçirilme ve veri kaybı riski yüksektir. Sisteminizde bu paketin kullanılıp kullanılmadığını hemen kontrol etmeniz gerekir.
ÖzetTürkçe
desmondmorris node-tesseract paketinin 0.2.7 ve öncesi sürümlerinde, lib/tesseract.js dosyasındaki Command Builder bileşeninin process fonksiyonu, image argümanını yeterince doğrulamadan işlemektedir. Bu durum, saldırganların sunucu üzerinde işletim sistemi komutları çalıştırmasına olanak tanıyabilir. Açık uzaktan istismar edilebilir ve kamuya açık bir istismar kodu bulunmaktadır. Proje açığa dair bildirimi aldığını henüz yanıtlamamıştır.
Saldırgan ne yapabilir?
Saldırgan, bu paketi kullanan uygulamanın çalıştığı sunucuda işletim sistemi komutları yürütebilir; bu da veri okuma, değiştirme ve hizmeti aksatma riskini doğurur.
Kaynaktaki açıklama (İngilizce)
A vulnerability has been found in desmondmorris node-tesseract up to 0.2.7. Affected by this issue is the function process of the file lib/tesseract.js of the component Command Builder. Such manipulation of the argument image leads to os command injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Resmi bir düzeltme henüz yayımlanmadığı için paketin kullanıldığı tüm uygulamaları ve bağımlılıkları envanterleyin ve node-tesseract paketinin 0.2.7 ve öncesi sürümlerinin kullanılıp kullanılmadığını belirleyin. Genel öneri
- Paket kullanılıyorsa, image argümanına dışarıdan gelen verilerin doğrudan iletilmediğinden emin olun; girdileri katı biçimde doğrulayın veya bu bileşeni geçici olarak devre dışı bırakın. Genel öneri
- Uygulamayı, mümkünse en az yetkili bir hesapla ve kısıtlı bir ortamda (ör. ayrı bir kapsayıcı veya izole sunucu) çalıştırarak olası etkiyi sınırlayın. Genel öneri
- Proje tarafından bir düzeltme yayımlanana kadar üretim ortamında bu bileşen için ağ erişimini ve dışarıdan gelen istekleri kısıtlayın. Genel öneri
Ek önlemler
- Proje resmi bir düzeltme yayımladığında hemen güncelleme yapın ve sürüm değişikliklerini takip edin. Genel öneri
- Sunucu süreçlerinde beklenmeyen komut çalıştırma girişimlerini izleyin ve günlük kayıtlarını düzenli inceleyin. Genel öneri
- Kullanıcı girdilerini kabuk komutlarına doğrudan aktarmak yerine, komut çağrılarını parametre dizisiyle yapan güvenli API'leri tercih edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| desmondmorris node-tesseract | 0.2.0 | – |
| 0.2.1 | – | |
| 0.2.2 | – | |
| 0.2.3 | – | |
| 0.2.4 | – | |
| 0.2.5 | – | |
| 0.2.6 | – | |
| 0.2.7 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117511 Üçüncü taraf
- vuldb.com/submit/1024535 Üçüncü taraf
- github.com/desmondmorris/node-tesseract/issues/72 İstismar kodu ya da analiz
- vuldb.com/vuln/427077 Diğer
- vuldb.com/vuln/427077/cti Diğer
- github.com/desmondmorris/node-tesseract Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.