CVE-2026-63725 est une injection de commandes OS authentifiée dans sysPass, un gestionnaire de mots de passe open source utilisé pour stocker des identifiants d'autres systèmes.
Le service de sauvegarde construit une commande shell à partir d'un chemin de sauvegarde configurable par l'administrateur sans échappement ni validation adéquats. Un attaquant disposant d'un accès admin, ou d'une session / jeton API admin compromis, peut influencer ce chemin et déclencher l'exécution de sauvegarde pour lancer des commandes arbitraires en tant qu'utilisateur du serveur web.
Comme sysPass détient des secrets à forte valeur, l'exécution de code au niveau hôte peut exposer le contenu du coffre et permettre un mouvement latéral. Limitez l'accès administratif, isolez la surface réseau de l'application, et suivez l'enregistrement CVE officiel pour le statut et la remédiation.