CVE-2026-43893

exiftool-vendored proporciona acceso multiplataforma a ExifTool para Node.js. Antes de la versión 35.19.0, exiftool-vendored inicia ExifTool en modo -stay_open True -@ -, donde los argumentos se leen desde stdin uno por línea. En las versiones afectadas, varias cadenas proporcionadas por el llamador se interpolaron en los argumentos de ExifTool sin rechazar los delimitadores de línea. Un salto de línea o retorno de carro dentro de una de esas cadenas podría dividir un único argumento previsto en múltiples argumentos de ExifTool, permitiendo la inyección de argumentos. La corrección también rechaza los bytes NUL como caracteres de control inseguros. Las aplicaciones que pasan cadenas controladas por el atacante a las API afectadas pueden permitir a un atacante hacer que ExifTool lea archivos accesibles para el proceso de ExifTool, o escribir la salida en rutas del sistema de archivos elegidas por el atacante y accesibles para ese proceso. No se ha demostrado ejecución remota de código. Esta vulnerabilidad se corrige en la versión 35.19.0.