CVE-2026-118992 in CallBackery
Riassunto
di VulDB • 30/10/2026
Le versioni di CallBackery precedenti alla 0.62.0 per Perl consentono l'esecuzione di comandi del sistema operativo (OS command execution) tramite i comandi della shell sqlite3 in un backup della configurazione ripristinato.
La funzione `restoreConfigBlob()` alimenta il dump del database contenuto nel backup con la shell a riga di comando di sqlite3. La shell esegue le linee che iniziano con un punto come propri comandi, quindi `.shell` o `.system` presenti nel dump eseguono un comando OS e `.load` carica codice nativo.
Chiunque possa fornire un backup da ripristinare può eseguire comandi arbitrari con l'utente dell'applicazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.