nodejs-whisperにおいて、特定のオーディオファイルパスを悪用することで、OSコマンドの注入が可能となる脆弱性が存在します。

nodejs-whisperのバージョン0.3.1以前のバージョンでは、convertToWavType()関数にOSコマンド注入の脆弱性があり、攻撃者が巧妙に作成されたオーディオファイルパスを送信することで、コマンドを実行できてしまう可能性があります。攻撃者は、ファイル名に$()によるコマンド置換や閉じ括弧を含む文字列を仕込み、shelljsのexec()関数を通じて実行されるffmpegコマンドに組み込むことで、Node.jsのプロセス権限でOSコマンドを実行させることが可能です。

影響を受けるパッケージ：
- npm (JavaScript) nodejs-whisper: 影響を受けるバージョンは0.4.0未満、0.4.0で修正済み。