p PatchFirst

CVE-2026-118692

CVE-2026-118692 · CherryTree through 1.7.2 OS Command Injection via Custom Web Link Action

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

CherryTree through 1.7.2 contains an OS command injection vulnerability in CtActions::link_clicked that allows attackers to execute commands by embedding shell metacharacters in web link URLs. When the non-default Custom Web Link Clicked Action option is enabled, attackers can supply crafted documents whose links pass $(...), backticks, or semicolons unquoted to std::system, running commands as the victim on click.

CVSS 7.1 · Alta · EPSS 0,6%

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • cherrytree

    Versiones
    • ≥ 0, ≤ 1.7.2: Afectada (custom)

    Sin corrección publicada

  • cherrytree Ubuntu:16.04:LTS

    Versiones
    • 0.35.10-1
    • 0.35.11-1
    • 0.36.2-1
    • 0.36.3-1
    • 0.36.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • cherrytree Ubuntu:18.04:LTS

    Versiones
    • 0.37.6-1
    • 0.37.6-1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • cherrytree Ubuntu:22.04:LTS

    Versiones
    • 0.99.40+dfsg-1
    • 0.99.43+dfsg-1build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • cherrytree Ubuntu:24.04:LTS

    Versiones
    • 0.99.48+dfsg-1
    • 1.0.2+dfsg-1
    • 1.0.2+dfsg-1build2
    • 1.0.2+dfsg-1build3
    • 1.1.2+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • cherrytree Ubuntu:26.10

    Versiones
    • 1.2.0+dfsg-1build2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • cherrytree Ubuntu:26.04:LTS

    Versiones
    • 1.2.0+dfsg-1build1
    • 1.2.0+dfsg-1build2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →