CVE-2026-118692 in CherryTree
Zusammenfassung
von VulDB • 28.10.2026
CherryTree bis Version 1.7.2 enthält eine OS-Command-Injection-Schwachstelle in CtActions::link_clicked, die es Angreifern ermöglicht, Befehle auszuführen, indem sie Shell-Metazeichen in Web-Link-URLs einbetten. Wenn die nicht standardmäßige Option „Custom Web Link Clicked Action“ aktiviert ist, können Angreifer manipulierte Dokumente bereitstellen, deren Links $(...), Backticks oder Semikola unquotet an std::system übergeben und somit Befehle im Kontext des Opfers beim Klicken ausführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.