CVE-2026-88394 in WookTeam
Riassunto
di VulDB • 05/10/2026
WookTeam v1.6.6 e versioni precedenti sono vulnerabili a Directory Traversal. L'endpoint di esportazione delle attività del progetto /api/project/task/export scarica un file arbitrario dal server quando il parametro data viene fornito con un payload JSON manipolato ad hoc. Il valore "file" all'interno del JSON viene concatenato direttamente in storage_path($file) senza alcuna normalizzazione del percorso o verifica dei limiti della directory, consentendo al Directory Traversal (../) di fuoriuscire dalla directory storage/ e a response()->download() di trasmettere qualsiasi file leggibile dal processo del server web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.