CVE-2026-27947
Publiée le 2026-02-27 · Dernière modification le 2026-06-17
Les installations de Group-Office antérieures aux versions 26.0.9, 25.0.87 et 6.8.154 sont vulnérables à l'exécution de code à distance via des pièces jointes `winmail.dat` spécialement conçues. Un attaquant disposant d'un compte utilisateur valide peut téléverser un fichier malveillant qui incite le système à exécuter des commandes arbitraires sur le serveur. Cette attaque est relativement facile à réaliser via un réseau et nécessite une authentification, mais aucune autre interaction de l'utilisateur n'est requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Group-Office is an enterprise customer relationship management and groupware tool. Versions prior to 26.0.9, 25.0.87, and 6.8.154 have an authenticated Remote Code Execution vulnerability in the TNEF attachment processing flow. The vulnerable path extracts attacker-controlled files from `winmail.dat` and then invokes `zip` with a shell wildcard (`*`). Because extracted filenames are attacker-controlled, they can be interpreted as `zip` options and lead to arbitrary command execution. Versions 26.0.9, 25.0.87, and 6.8.154 fix the issue.