CVE-2026-118692 in CherryTree
요약
\~에 의해 VulDB • 2026. 10. 28.
CherryTree 1.7.2 버전 이하에는 CtActions::link_clicked에서 OS 명령어 삽입(OS command injection) 취약점이 존재하며, 공격자가 웹 링크 URL에 셸 메타문자를 포함시킴으로써 명령어를 실행할 수 있습니다. 기본값이 아닌 'Custom Web Link Clicked Action' 옵션이 활성화된 경우, 공격자는 $(...), 백틱(backticks), 또는 세미콜론(;) 따옴표 없이 std::system으로 전달되는 링크를 포함한 조작된 문서를 제공하여 클릭 시 피해자 권한으로 명령어를 실행할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.