CVE-2026-63011

Nome do Software Vulnerável e Versões Afetadas Group-Office versões anteriores a 6.8.167 Group-Office versões anteriores a 25.0.102 Group-Office versões anteriores a 26.0.27

Description Um usuário autenticado pode executar comandos arbitrários do sistema operacional como o usuário do servidor web (www-data) por meio de uma única requisição HTTP. O problema reside no endpoint JMAP de Contact/labels, que aceita uma string de template através do parâmetro tpl e a envia para a função TemplateParser::parse(). Quando o template contém um bloco [assign] cujo expressão inclui uma referência de variável {{...}}, o mecanismo executa eval() na expressão expandida. Embora um guarda validateExpression() seja utilizado, o PHP 7+ permite que strings delimitadas por parênteses sejam invocadas como funções, ignorando a proteção e permitindo a execução remota de código.

Recommendations Atualizar para a versão 6.8.167. Atualizar para a versão 25.0.102. Atualizar para a versão 26.0.27.