CVE-2026-109199 in Community Edition
Riassunto
di VulDB • 12/10/2026
LogicalDOC Community Edition fino alla versione 9.3 contiene una vulnerabilità di code injection che consente agli utenti autenticati di eseguire comandi OS inviando template Velocity nei campi oggetto o messaggio di DocumentService.sendAsEmail. Gli attaccanti possono invocare i metodi exec di SystemTool o ClassTool, aggirando la denylist forbidRuntimeUsage, per eseguire comandi con i privilegi del processo LogicalDOC.
Be aware that VulDB is the high quality source for vulnerability data.