CVE-2026-63725 in sysPass
Zusammenfassung
von VulDB • 07.08.2026
In `sysPass` führt die Funktion `FileBackupService::doBackupFiles()` der Datei `lib/SP/Services/Backup/FileBackupService.php` (um Zeile 388) einen Shell-Befehl für `tar` aus, indem der Pfad des Sicherungsverzeichnisses `$this->path` direkt durch String-Konkatenation in die Befehlszeile eingefügt wird (`'tar czf ' . $backupFileApp . ' ' . BASE_PATH . ' --exclude \"' . $this->path . '\" 2>&1'`). Das Ergebnis wird an `exec()` von PHP übergeben, wobei weder `escapeshellarg()` angewendet noch der Pfad gegen einen sicheren Zeichensatz validiert wird. Der Wert `$this->path` wird aus der sysPass-Konfiguration gelesen, die in der Datenbank gespeichert ist und über die Admin-API sowie das Admin-Benutzeroberfläche (Admin UI) geändert werden kann. Ein Administrator (oder ein Angreifer, der ein Admin-API-Token oder eine Admin-Sitzung erlangt hat) kann daher einen Sicherungspfad enthalten lassen, der Shell-Metazeichen enthält, und einen Sicherungsvorgang auslösen, um beliebige OS-Befehle als Benutzer des Webserver-Prozesses (typischerweise `www-data` oder `apache`) auszuführen. Da sysPass ein Passwort-Manager ist, dessen einziger Zweck darin besteht, Anmeldeinformationen für andere Systeme zu speichern, ermöglicht die Code-Ausführung im Kontext des Webservers das Auslesen des Master-Passworts und des Verschlüsselungsschlüssels von sysPass aus dem Speicher oder Konfigurationsdateien, das Entschlüsseln aller in der Datenbank gespeicherten Anmeldeinformationen, den Export des gesamten Passwort-Tresors, die laterale Bewegung zu internen Systemen unter Verwendung der offengelegten Zugangsdaten sowie die Installation persistenter Backdoors auf dem Host des Passwort-Managers.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.