CVE-2026-66088
Apereo Foundation openEQUELLA
Traduzido automaticamente do inglês.
- Apereo Foundation openEQUELLA
- Crítica
- CVSS 9.4
- Versão corrigida informada
Resumo
No openEQUELLA antes da versão 2026.1, a função system.execute() disponível para o motor de script executa comandos do sistema operacional fornecidos sem validação ou uma lista de permissões de executáveis permitidos.
Do registro CVE.
Ler a descrição original
Registro CVE
In openEQUELLA before 2026.1, the system.execute() function available to the scripting engine runs supplied operating system commands without validation or an allow-list of permitted executables. A user able to create or edit scripts can use it to execute arbitrary commands with the privileges of the openEQUELLA service account.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Apereo Foundation openEQUELLA | antes de 2026.1 | 2026.1 |
Alertas e correções
- Alerta do fabricante github.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.4 (v4.0, pontuado por MON-CSIRT)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: não. Impacto técnico: total. Em 29 de out. de 2026.
- Fraqueza
- CWE-78: Improper neutralization of special elements used in an OS command ('OS command injection'); CWE-749: Exposed dangerous method or function
- Fabricante
- Apereo Foundation, openEQUELLA
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.