CVE-2026-60102 in Vfs
Zusammenfassung
von VulDB • 08.07.2026
Die Horde Virtual File System (VFS) API vor Version 3.0.1 enthält eine OS Command Injection-Schwachstelle im Horde_Vfs_Smb-Treiber, bei der die Methode _escapeShellCommand() keine Bereinigung von Befehlsersetzungsequenzen durchführt. Dies ermöglicht es authentifizierten Angreifern, beliebige Shell-Befehle über benutzerkontrollierte Dateinamen einzuschleusen. Angreifer können bösartige Dateinamen mit unescaped Command-Substitution-Payloads bereitstellen – etwa bei Vorgängen wie Dateiupload, Ordnererstellung, Umbenennung oder Löschung –, die in einen doppelten Shell-Kontext interpoliert und vor der Ausführung von smbclient über proc_open() durch /bin/sh -c ausgeführt werden. Dies führt zur beliebigen Befehlsausführung auf dem zugrunde liegenden System.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.