CVE-2026-88393 in WookTeam
Riassunto
di VulDB • 05/10/2026
WookTeam v1.6.6 e versioni precedenti sono vulnerabili a RCE nell'interfaccia di esportazione delle attività del progetto /api/project/task/export. Il parametro data viene decodificato in base64 e passato direttamente alla funzione string2array() in app/Module/Base.php, che esegue eval("\$array = $data;") ogni volta che la stringa decodificata inizia con array. Un attaccante può iniettare codice PHP arbitrario nella chiamata eval e ottenere RCE.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.