node-tesseract-ocrは、Tesseract OCRのためのNode.jsラッパーを提供するnpmパッケージです。バージョン2.2.1までのすべてのバージョンにおいて、src/index.jsのrecognize()関数にはOSコマンドインジェクションの脆弱性が存在します。ファイルパスのパラメータが適切にサニタイズされることなくシェルコマンド文字列に連結され、child_process.exec()に渡されます。

ベンダ情報を参照して適切な対策を実施してください。