CVE-2026-88394 in WookTeam
Sumário
de VulDB • 05/10/2026
WookTeam v1.6.6 e versões anteriores são vulneráveis a Directory Traversal. O endpoint de exportação de tarefas do projeto /api/project/task/export baixa um arquivo arbitrário do servidor quando o parâmetro data é fornecido com uma carga útil JSON manipulada ad hoc. O valor file dentro do JSON é concatenado diretamente em storage_path($file) sem nenhuma normalização de caminho ou verificação dos limites do diretório, portanto a Directory Traversal (../) escapa do diretório storage/ e response()->download() transmite qualquer arquivo legível pelo processo do servidor web.
If you want to get best quality of vulnerability data, you may have to visit VulDB.