CVE-2026-63725
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
sysPass w funkcji FileBackupService::doBackupFiles() buduje polecenie tar przez konkatenację ścieżki katalogu kopii zapasowej bez użycia escapeshellarg() i bez walidacji znaków. Administrator (lub atakujący z tokenem API) może zapisać ścieżkę zawierającą metaznaki powłoki, co przy wyzwoleniu kopii zapasowej umożliwia wykonanie dowolnych poleceń systemowych jako użytkownik procesu webowego. Może to prowadzić do odczytania hasła głównego i klucza szyfrowania, odszyfrowania wszystkich haseł i przejęcia systemu.
Ocena ryzyka
Wykonanie kodu na serwerze menedżera haseł pozwala na kradzież wszystkich przechowywanych poświadczeń, co może prowadzić do eskalacji uprawnień i kompromitacji całej infrastruktury.
Rekomendacja
Zaktualizuj sysPass do wersji z poprawką. Ogranicz dostęp do panelu administracyjnego i API, a także waliduj ścieżki kopii zapasowych.
Inne podatności w sysPass
Zobacz wszystkie- CVE-2026-65711Wysokie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w sysPass do wersji 3.2.11, umożliwiająca uwierzytelnionym administratorom wykonanie dowolnych poleceń poprzez ustawienie złośliwej ścieżki kopii zapasowej i wywołanie kopii zapasowej.
- CVE-2026-65710Wysokie
Brak autoryzacji w sysPass do wersji 3.2.11, umożliwiający uwierzytelnionym użytkownikom z flagą PUBLICLINK_CREATE nieautoryzowane odszyfrowanie i trwałe przechowywanie haseł dowolnych kont w skarbcu.
- CVE-2026-65709Wysokie
Brak autoryzacji na poziomie obiektu w API JSON-RPC w sysPass do wersji 3.2.11, umożliwiający posiadaczom tokenów API wyliczanie metadanych kont, nadpisywanie haseł i usuwanie kont w całym skarbcu bez kontroli dostępu.
- CVE-2026-65708Wysokie
Podatność na bezpośrednie odwołanie do niebezpiecznego obiektu w sysPass do wersji 3.2.11, umożliwiająca uwierzytelnionemu atakującemu dostęp do załączników plików kont, do których nie ma uprawnień ACL.
Oryginalny opis (angielski, źródło NVD)
sysPass's FileBackupService::doBackupFiles() in lib/SP/Services/Backup/FileBackupService.php around line 388 builds a tar shell command by string-concatenating the backup directory path $this->path directly into the command line ('tar czf ' . $backupFileApp . ' ' . BASE_PATH . ' --exclude \"' . $this->path . '\" 2>&1') and passes the result to PHP's exec() with no application of escapeshellarg() and no validation of the path against a safe character set. The $this->path value is read from the sysPass configuration, which is persisted in the database and writable through the admin settings API and the admin UI. An administrator (or an attacker who has obtained an admin API token or admin session) can therefore store a backup path containing shell metacharacters and trigger a backup operation to execute arbitrary OS commands as the web server process user (typically www-data or apache). Because sysPass is a password manager whose sole purpose is to hold credentials for other systems, code execution as the web-server user permits reading sysPass's master password and encryption key from memory or configuration files, decrypting every stored credential in the database, exporting the entire password vault, pivoting to internal systems using the disclosed credentials, and installing persistent backdoors on the password-manager host.