CVE-2026-88394 in WookTeam
الملخص
بحسب VulDB • 05/10/2026
WookTeam v1.6.6 وما قبله يعاني من ثغرة Directory Traversal. يسمح نقطة نهاية تصدير مهام المشروع /api/project/task/export بتنزيل ملف عشوائي من الخادم عند توفير المعلمة data مع حمولة JSON مُعدّة بشكل متلاعب (crafted). يتم دمج قيمة الملف داخل الـJSON مباشرةً في storage_path($file) دون أي تطبيع للمسار أو فحص لحدود الدليل، لذا فإن Directory Traversal (../) يتجاوز دليل storage/ ويقوم response()->download() بتدفق أي ملف يمكن لقطة عملية الخادم الويب قراءته.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.