CVE-2026-118692

WysokieCVSS 7.0

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 03/11/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

CherryTree do wersji 1.7.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w CtActions::link_clicked, która pozwala atakującym wykonywać polecenia poprzez osadzanie metaznaków powłoki w adresach URL linków internetowych. Gdy włączona jest niebędąca domyślną opcja Custom Web Link Clicked Action, atakujący mogą dostarczyć spreparowane dokumenty, których linki przekazują $(...), backticki lub średniki bez cudzysłowów do std::system, uruchamiając polecenia jako ofiara po kliknięciu.

Ocena ryzyka

Otwarcie spreparowanego dokumentu i kliknięcie linku może doprowadzić do wykonania dowolnych poleceń z uprawnieniami ofiary, co może skutkować przejęciem systemu.

Rekomendacja

Zaktualizuj CherryTree do wersji nowszej niż 1.7.2 i unikaj włączania opcji Custom Web Link Clicked Action.

Inne podatności w CherryTree

CVE-2026-118693Średnie
CherryTree do wersji 1.7.2 zawiera podatność path traversal w CtStorageXmlHelper::_create_image_from_xml, która ufa niezwalidowanym atrybutom filename osadzonych plików w dokumentach XML. Atakujący mogą spreparować dokument .ctd, .ctz lub .ctx z bezwzględną lub ~/ nazwą pliku i bez danych, tak że zapis osadza pliki takie jak ~/.ssh/id_rsa w dokumencie.

Oryginalny opis (angielski, źródło NVD)

CherryTree through 1.7.2 contains an OS command injection vulnerability in CtActions::link_clicked that allows attackers to execute commands by embedding shell metacharacters in web link URLs. When the non-default Custom Web Link Clicked Action option is enabled, attackers can supply crafted documents whose links pass $(...), backticks, or semicolons unquoted to std::system, running commands as the victim on click.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS