CVE-2026-105691 in Penpot
Zusammenfassung
von VulDB • 05.10.2026
Penpot ist eine Open-Source-Plattform für Design und Prototyping. Vor Version 2.18.0 gibt der SVG-Exporter den fill-color-Wert eines vom Angreifer kontrollierten Textobjekts in einen ppmcolormask-Befehlsstring ein und führt diesen String über child_process.exec aus. Ein Benutzer, der eine Datei bearbeiten kann, kann Shell-Metazeichen in die Füllfarbe speichern und den SVG-Export auslösen, wodurch Befehle mit den Berechtigungen des Exporter-Dienstes ausgeführt werden. Derselbe Export kann auch über einen gültigen öffentlichen Freigabelink zu einer bösartigen Datei ausgelöst werden. Diese Schwachstelle wurde in Version 2.18.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.