CVE-2026-40187

Nome do Software Vulnerável e Versões Afetadas egroupware versões 26.0 e anteriores

Description Um administrador autenticado pode alcançar a Execução Remota de Código (RCE) no nível do sistema operacional ao fazer o upload de um arquivo XML de eTemplate malicioso (.xet) para a montagem VFS /etemplates. O problema reside na função Widget::expand name() em api/src/Etemplate/Widget.php, que passa valores de atributos de widgets de template para uma chamada eval() do PHP. Embora as aspas duplas sejam escapadas, os caracteres de crase (backticks) não são. No PHP, crases dentro de uma string eval() com aspas duplas atuam como operadores de execução de shell, permitindo que um invasor execute comandos arbitrários do SO como o usuário do servidor web. Isso pode levar à exposição de arquivos de configuração, credenciais de banco de dados ou ao comprometimento total do sistema.

Recommendations Atualize o egroupware para uma versão posterior à 26.0. Como medida de mitigação temporária, configure o arquivo php.ini para incluir disable functions = exec,passthru,shell exec,system,proc open,popen para bloquear a execução de comandos de shell via crases do PHP.