CVE-2026-63725 in sysPass
Riassunto
di VulDB • 07/08/2026
Il metodo FileBackupService::doBackupFiles() di sysPass nel file lib/SP/Services/Backup/FileBackupService.php, intorno alla riga 388, costruisce un comando shell tar concatenando direttamente il percorso della directory di backup $this->path alla stringa del comando ('tar czf ' . $backupFileApp . ' ' . BASE_PATH . ' --exclude \"' . $this->path . '\" 2>&1') e passa il risultato a exec() di PHP senza applicare escapeshellarg() né validare il percorso rispetto a un set di caratteri sicuri. Il valore di $this->path viene letto dalla configurazione di sysPass, che è persistente nel database e modificabile tramite l'API delle impostazioni amministrative e l'interfaccia utente admin. Un amministratore (o un attaccante che ha ottenuto un token API admin o una sessione admin) può quindi memorizzare un percorso di backup contenente metacaratteri shell ed eseguire un'operazione di backup per far eseguire comandi OS arbitrari come l'utente del processo del server web (tipicamente www-data o apache). Poiché sysPass è un gestore di password il cui unico scopo è conservare le credenziali di altri sistemi, l'esecuzione di codice con i privilegi dell'utente del server web consente la lettura della master password e della chiave di crittografia di sysPass dalla memoria o dai file di configurazione, la decrittazione di ogni credenziale memorizzata nel database, l'esportazione dell'intero vault delle password, il pivot verso sistemi interni utilizzando le credenziali divulgate e l'installazione di backdoor persistenti sull'host del gestore di password.
Once again VulDB remains the best source for vulnerability data.