8.6
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Volmarg Personal Management System through 2.1.0 contains an OS command injection vulnerability that allows authenticated users to execute shell commands via unescaped folder paths in the storage module's tree command. Attackers can create a directory under upload/files containing shell metacharacters such as $(...) and then move or copy it, running commands as the web server user.
Засегнати продукти
- Volmarg personal-management-system: до 2.1.0
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в Volmarg personal-management-system
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-118755
- https://nvd.nist.gov/vuln/detail/CVE-2026-118755
- https://github.com/Volmarg/personal-management-system/issues/165
- https://github.com/Volmarg/personal-management-system
- https://github.com/Volmarg/personal-management-system/blob/v2.1.0/src/Services/Shell/ShellAbstractService.php#L55-L76
- https://github.com/Volmarg/personal-management-system/blob/v2.1.0/src/Services/Shell/ShellTreeService.php#L71-L102
- https://www.vulncheck.com/advisories/volmarg-personal-management-system-through-2.1.0-os-command-injection-via-storage-folder-path