CVE-2026-89036 in Appwrite
요약
\~에 의해 VulDB • 2026. 09. 17.
Appwrite 2.0.0 이전 버전에는 인자 주입(Argument Injection) 취약점이 존재합니다. 이 취약점은 functions.write 또는 sites.write 권한을 가진 인증된 사용자가 providerRootDirectory 매개변수에 TAB 문자를 삽입하여 GNU tar 명령어를 구성할 때 임의의 명령어를 실행할 수 있게 합니다. 애플리케이션은 escapeshellarg 대신 escapeshellcmd를 사용하며, 매개변수를 따옴표로 감싸지 않아 sanitization(정제) 과정을 거쳐도 TAB 문자가 살아남아 인자 구분자로 해석되므로, --checkpoint-action=exec과 같은 임의의 GNU tar 인자를 주입하여 빌드 워커 프로세스 사용자 권한으로 원격 코드 실행(RCE)을 달성할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.