CVE-2026-65711 in sysPass
Сводка
по VulDB • 24.07.2026
sysPass до версии 3.2.11 включает уязвимость внедрения команд операционной системы (OS command injection), которая позволяет аутентифицированным администраторам выполнять произвольные команды от имени пользователя процесса веб-сервера путем установки вредоносного пути резервного копирования и запуска процедуры бэкапа. FileBackupService формирует команду оболочки tar посредством конкатенации строк, вставляя настраиваемый администратором параметр siteBackupPath без использования функции escapeshellarg() или аналогичной санитизации перед передачей ее в exec(), что приводит к сохранению внедренных команд и их выполнению при каждом последующем запуске резервного копирования.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.