CVE-2026-88393
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
WookTeam w wersji 1.6.6 i wcześniejszych jest podatny na RCE w interfejsie eksportu zadań projektu /api/project/task/export. Parametr data jest dekodowany base64 i przekazywany bezpośrednio do funkcji string2array() w app/Module/Base.php, która wykonuje eval("\$array = $data;") zawsze, gdy zdekodowany ciąg zaczyna się od array. Atakujący może wstrzyknąć dowolny kod PHP do wywołania eval i osiągnąć RCE.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ umożliwia zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia systemu. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację WookTeam do najnowszej wersji oraz usunięcie lub zabezpieczenie funkcji eval. Należy również ograniczyć dostęp do endpointu eksportu.
Inne podatności w WookTeam
Oryginalny opis (angielski, źródło NVD)
WookTeam v1.6.6 and before is vulnerable to RCE in the project task export interface /api/project/task/export. The data parameter is base64-decoded and passed directly into the string2array() function in app/Module/Base.php, which executes eval("\$array = $data;") whenever the decoded string starts with array. An attacker can inject arbitrary PHP code into the eval call and achieve RCE.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS