CVE-2026-89036

Nome do Software Vulnerável e Versões Afetadas Appwrite versões anteriores a 2.0.0

Description Usuários autenticados com permissões functions.write ou sites.write podem executar comandos arbitrários. Isso ocorre porque a aplicação utiliza escapeshellcmd() em vez de escapeshellarg() e não coloca entre aspas o parâmetro providerRootDirectory ao construir comandos GNU tar. Ao injetar caracteres TAB, que sobrevivem à sanitização e atuam como separadores de argumentos, um invasor pode injetar argumentos arbitrários do GNU tar, como --checkpoint-action=exec, para alcançar a execução remota de código como o usuário do processo de trabalho de compilação (builds worker process user).

Recommendations Atualize o Appwrite para a versão 2.0.0 ou posterior.