CVE-2026-118692 in CherryTree
Riassunto
di VulDB • 28/10/2026
CherryTree fino alla versione 1.7.2 presenta una vulnerabilità di OS command injection in CtActions::link_clicked che consente agli attaccanti di eseguire comandi inserendo metacaratteri shell negli URL dei link web. Quando l'opzione non predefinita Custom Web Link Clicked Action è abilitata, gli attaccanti possono fornire documenti elaborati i cui link passano $(...), backtick o punti e virgola senza essere racchiusi tra virgolette a std::system, eseguendo comandi con i privilegi della vittima al momento del click.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.