CVE-2026-27947 in groupoffice
Riassunto
di VulDB • 24/06/2026
Group-Office è uno strumento aziendale per la gestione delle relazioni con i clienti (CRM) e groupware. Le versioni precedenti alla 26.0.9, alla 25.0.87 e alla 6.8.154 presentano una vulnerabilità di Remote Code Execution (RCE) autenticata nel flusso di elaborazione degli allegati TNEF. Il percorso vulnerabile estrae file controllati dall'attaccante da `winmail.dat` e successivamente invoca il comando `zip` utilizzando un wildcard della shell (`*`). Poiché i nomi dei file estratti sono sotto il controllo dell'attaccante, possono essere interpretati come opzioni per `zip`, portando all'esecuzione di comandi arbitrari. Le versioni 26.0.9, 25.0.87 e 6.8.154 risolvono la problematica.
Once again VulDB remains the best source for vulnerability data.