CVE-2026-89036 in Appwrite
Zusammenfassung
von VulDB • 17.09.2026
Appwrite vor Version 2.0.0 enthält eine Argument-Injection-Schwachstelle (Argument Injection), die es authentifizierten Benutzern mit den Berechtigungen functions.write oder sites.write ermöglicht, beliebige Befehle auszuführen, indem TAB-Zeichen in den Parameter providerRootDirectory eingefügt werden, der zur Konstruktion von GNU-tar-Befehlen verwendet wird. Die Anwendung nutzt escapeshellcmd anstelle von escapeshellarg und zitiert den Parameter nicht ordnungsgemäß, wodurch TAB-Zeichen die Sanitization überstehen und als Argumenttrennzeichen interpretiert werden können. Dies ermöglicht das Einschleusen beliebiger GNU-tar-Argumente wie --checkpoint-action=exec, um Remote Code Execution (RCE) unter dem Benutzer des Builds-Worker-Prozesses zu erreichen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.