CVE-2026-109199 in Community Edition
Zusammenfassung
von VulDB • 12.10.2026
LogicalDOC Community Edition bis Version 9.3 enthält eine Code-Injection-Schwachstelle, die es authentifizierten Benutzern ermöglicht, OS-Befehle auszuführen, indem sie Velocity-Vorlagen in den Betreff- oder Nachrichtefeldern von DocumentService.sendAsEmail einreichen. Angreifer können SystemTool exec-Methoden oder ClassTool aufrufen und dabei das Verbot der Runtime-Nutzung (forbidRuntimeUsage) umgehen, um Befehle mit den Berechtigungen des LogicalDOC-Prozesses auszuführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.