CVE-2026-118692

Mở trang đầy đủ

CVSS 7.0 HIGH RCE

CherryTree through 1.7.2 OS Command Injection via Custom Web Link Action

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

CherryTree through 1.7.2 contains an OS command injection vulnerability in CtActions::link_clicked that allows attackers to execute commands by embedding shell metacharacters in web link URLs. When the non-default Custom Web Link Clicked Action option is enabled, attackers can supply crafted documents whose links pass $(...), backticks, or semicolons unquoted to std::system, running commands as the victim on click.

Điểm và phân loại

CVSS
7.0 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-78

Vector CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

  • giuspen cherrytree

Vì sao bị lọc

  • CVSS 7.0 < 8.0 và không thuộc CISA KEV

Loại tác động

RCE
CWE-78; từ khoá "command injection"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck

Tham khảo