Към съдържанието
Търсене

CVE-2026-27947: Intermesh groupoffice, инжекция

9.4

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Group-Office is an enterprise customer relationship management and groupware tool. Versions prior to 26.0.9, 25.0.87, and 6.8.154 have an authenticated Remote Code Execution vulnerability in the TNEF attachment processing flow. The vulnerable path extracts attacker-controlled files from `winmail.dat` and then invokes `zip` with a shell wildcard (`*`). Because extracted filenames are attacker-controlled, they can be interpreted as `zip` options and lead to arbitrary command execution. Versions 26.0.9, 25.0.87, and 6.8.154 fix the issue.

Засегнати продукти

  • Intermesh groupoffice: >= 26.0.0, < 26.0.9; >= 25.0.0, < 25.0.87; < 6.8.154

Вид слабост

История

  • 27 февруари 2026 Публикувано

Други уязвимости в Intermesh groupoffice

Първоизточници

CVE-2026-27947: Intermesh groupoffice, инжекция | freedomonline.bg