PT-2026-56520 · Horde · Horde Virtual File System Api

Hacker Fantastic · Publicado 2026-07-08 · Atualizado 2026-07-08 · CVE-2026-60102

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Horde Virtual File System (VFS) API versões anteriores a 3.0.1

Description O driver Horde Vfs Smb contém uma falha de injeção de comando de SO onde o método escapeShellCommand() não sanitiza adequadamente sequências de substituição de comando. Atacantes autenticados podem explorar isso fornecendo nomes de arquivos maliciosos durante operações de upload de arquivos, criação de pastas, renomeação ou exclusão. Esses nomes de arquivos são interpolados em um contexto de shell com aspas duplas e executados via proc open() através do /bin/sh -c antes da execução do smbclient, permitindo a execução de comandos de shell arbitrários no sistema subjacente.

Recommendations Atualize o Horde Virtual File System (VFS) API para a versão 3.0.1 ou posterior.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-60102

Produtos afetados

Horde Virtual File System Api

Referências · 9

• https://github.com/horde/Vfs/releases/tag/v3.0.1 · Nota
• https://github.com/horde/Vfs/commit/41f74b4acfc144e09013d04dd121e0a5da808361 · Correção
• https://github.com/horde/Vfs/pull/10 · Nota
• https://twitter.com/myhackerhouse/status/2074916249444798592 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-60102 · Nota de Segurança
• https://twitter.com/hackerfantastic/status/2074885923376882131 · Publicação no Twitter
• https://vulncheck.com/advisories/horde-vfs-os-command-injection-via-horde-vfs-smb-driver · Nota
• https://twitter.com/CVEnew/status/2074931617697546581 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2074933004338647525 · Publicação no Twitter