CVE-2026-27635 in manyfold

摘要

由 VulDB • 2026-06-20

Manyfold 是一个开源、自托管的 Web 应用程序，用于管理 3D 模型集合，特别专注于 3D 打印。在 0.133.0 版本之前，当启用模型渲染生成功能时，已登录用户可以通过上传包含文件名中含有 shell 元字符的 ZIP 文件来实现远程代码执行（RCE）。该文件名未经过清理便直接传入 Ruby 的反引号调用中。版本 0.133.0 修复了此问题。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: GitHub M
• 预定: 2026-02-20
• 披露: 2026-02-26
• 管理: 已接受
• 条目: VDB-347862
• CPE: 准备好
• CWE: CWE-78 (已确认)
• CVSS: 8.8 (NVD)
• EPSS: 0.00370
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-27635
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27635
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-27635/