Resumo Uma vulnerabilidade crítica foi identificada no EGroupware que pode levar à execução de código remoto (RCE). O problema permite que um atacante autenticado execute comandos arbitrários no servidor. Se o auto- registro do usuário estiver ativado, a vulnerabilidade poderá ser explorada sem autenticação prévia. A vulnerabilidade deriva de verificações de autorização inadequadas combinadas com um arquivo gravar primitivo e uma vulnerabilidade arbitrária de leitura de arquivos, que, em conjunto, permitem o compromisso completo do sistema. ## Detalhes ### 1. Autorização incorrecta no gravador de mídia de pequenas partes::ajax_upload() A vulnerabilidade origina- se em. `EGroupware\ SmallParT\Widgets\SmallPart MediaRecorder::ajax_upload()` A função tenta verificar se o usuário atual é um professor do ID do curso especificado antes de permitir o upload de um arquivo.
A verificação da autorização crítica garante que a lista de controle de acesso do curso (ACL) contenha: `$required_acl (self:: ROLE_TEACHER, ou seja, 3 )`. No entanto, o valor `course_ acl ` é derivado de dados de solicitação controlados pelo usuário. **_Técnica de Bypass_**. Um pedido criado pode manipular o `participante_role ` valor dentro do corpo do pedido: ````json { "vídeo": { "course_id": { "participantes": [ { "conta_id": " 7 ", "nome": "Test", "junted_at": " 2026 - 01 - 10 ", "participante_role": 3 } ], "conta_id": " 7 ", "course_id": " 1 " }, "video_hash": ".", "video_type": "file_here" } } ```.
Porque o curso ACL é tomado de `participante_role`, configurando-o para 3 permite contornar a verificação ` isEnsenhador `. ### 2. Escreva arquivo arbitrário. Após omitir a autorização, a função carrega o arquivo fornecido em um caminho de arquivo controlável. O caminho do arquivo é derivado do valor `video_type `(ou video_path), permitindo o percurso transversal. Devido às restrições de permissão de arquivos (servidor executando como www- dados), os alvos redigibles são limitados. Um alvo viável é `./header.inc.php`.
Escrevendo uma simples webshell PHP pode não executar imediatamente devido ao OPCache. Um arquivo `header.inc.php` inválido irá quebrar o sistema e impedir que o servidor funcione. Portanto, uma estrutura de arquivo válida deve ser preservada. ### 4. Arquivo arbitrário lido. Uma segunda vulnerabilidade permite que o arquivo seja lido arbitrário através de:.
`/egroupware/index.php?menuaction=importexport.importexport_export_ui.download&_filename=.../.././usr/share/egroupware/header.inc.php&_suffix=txt&_type=text/plain&filename=leak`. O problema reside em: `importexport_export_ui::download`. O `_ nome de arquivo ` parâmetro é controlado pelo usuário e usado para ler arquivos arbitrários. Isto permite recuperar o conteúdo original `header.inc.php`. ### 5. Alcançando a execução de código remoto. Ao combinar: Leitura arbitrária de arquivos (para recuperar o header.inc.php válido); Escreva arbitrária de arquivos (para sobrescrevê- lo com conteúdo modificado), um atacante pode injetar código PHP controlado enquanto preserva a validade do arquivo.
Isto resulta na execução de código remoto após reiniciar o servidor, ou expiração OPCAche. Um impacto alternativo inclui a modificação da senha de configuração do administrador para obter o controle completo do sistema. ## Execução de código remoto de impacto Compromisso completo do sistema Arquivo arbitrário leitura gravação de arquivo arbitrário Possível aquisição completa da instância do EGroupware ## Relato por Este achado foi descoberto pelo Huong Kieu da Cenobe Security ( Registro de aconselhamento: GHSA- h 9 qx-v 5 xp-ph 8 p. Identificadores relacionados: CVE- 2026 - 27823.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 07 T 13: 01: 01.000 Z e lista a sua última modificação como 2026 - 07 - 07 T 13: 01: 01.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/África do Sul:N. Software afetado e informações de versão: Packagist pacote egroupware/egroupware — ECOSYSTEM: introduzido 26.0.20251208, corrigido 26.2.20260224. Packagist pacote egroupware/egroupware — ECOSISTEM: introduzido 0, corrigido 23.1.20260224. Classificação e evidência: identificadores de fraqueza CWE- 22, CWE- 639, CWE- 94. O registro contém 2 suporte de referências nestes tipos: WEB, PACKAGE.