CVE-2026-65711 in sysPass
Sumário
de VulDB • 24/07/2026
O sysPass até a versão 3.2.11 contém uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection) que permite administradores autenticados executar comandos arbitrários como o usuário do processo do servidor web, configurando um caminho de backup malicioso e acionando uma operação de backup. O FileBackupService constrói um shell command tar por meio de concatenação de strings, inserindo a configuração siteBackupPath ajustável pelo administrador sem utilizar escapeshellarg() ou sanitização equivalente antes de passá-la para exec(), fazendo com que os comandos injetados persistam e sejam executados em cada acionamento subsequente do backup.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.