PT-2026-65910 · Olivetin · Olivetin

CVE-2026-67438 · Publicado 2026-07-29 · Atualizado 2026-07-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OliveTin versões 3000.2.0 até 3000.16.0

Descrição A injeção de comandos do sistema operacional é possível porque a função checkShellArgumentSafety() em service/internal/executor/arguments.go não trata os tipos de argumentos personalizados regex: como inseguros para ações em modo Shell. Isso permite que valores que passam pelo typeSafetyCheckRegex sejam interpolados por wrapCommandInShell() em uma string de comando sh -c.

Recomendações Atualize para a versão 3000.17.0.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-67438

GHSA-XC5W-4V5W-7X65

Produtos afetados

Olivetin

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/67xxx/CVE-2026-67438.json · Exploit
• https://github.com/OliveTin/OliveTin/commit/995ff79736f2bccc364448a3ece84087b550b232 · Nota
• https://github.com/OliveTin/OliveTin/releases/tag/3000.17.0 · Nota
• https://github.com/OliveTin/OliveTin/security/advisories/GHSA-xc5w-4v5w-7x65 · Nota
• https://osv.dev/vulnerability/CVE-2026-67438 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-67438 · Nota de Segurança