CVE-2026-63725 is een geauthenticeerde OS command injection-kwetsbaarheid in sysPass, een opensource-passwordmanager voor credentials van andere systemen.
De backupservice construeert een shellcommando met een door de beheerder configureerbaar backuppad zonder adequate escaping of validatie. Een aanvaller met admintoegang, of met een gecompromitteerde adminsessie of API-token, kan dat pad beïnvloeden en backupuitvoering triggeren om willekeurige commando's als webservergebruiker te draaien.
Omdat sysPass high-value secrets bevat, kan host-level code-uitvoering vaultmateriaal blootstellen en laterale beweging mogelijk maken. Beperk administratieve toegang, isoleer het applicatienetwerkoppervlak, en volg het officiële CVE-record voor status en remediatie.