CVE-2026-63725
sysPass FileBackupService Authenticated OS Command Injection via Backup Path
Description
sysPass's FileBackupService::doBackupFiles() in lib/SP/Services/Backup/FileBackupService.php around line 388 builds a tar shell command by string-concatenating the backup directory path $this->path directly into the command line ('tar czf ' . $backupFileApp . ' ' . BASE_PATH . ' --exclude \"' . $this->path . '\" 2>&1') and passes the result to PHP's exec() with no application of escapeshellarg() and no validation of the path against a safe character set. The $this->path value is read from the sysPass configuration, which is persisted in the database and writable through the admin settings API and the admin UI. An administrator (or an attacker who has obtained an admin API token or admin session) can therefore store a backup path containing shell metacharacters and trigger a backup operation to execute arbitrary OS commands as the web server process user (typically www-data or apache). Because sysPass is a password manager whose sole purpose is to hold credentials for other systems, code execution as the web-server user permits reading sysPass's master password and encryption key from memory or configuration files, decrypting every stored credential in the database, exporting the entire password vault, pivoting to internal systems using the disclosed credentials, and installing persistent backdoors on the password-manager host.
INFO
Published Date :
Aug. 6, 2026, 10:18 p.m.
Last Modified :
Oct. 24, 2026, 4:10 p.m.
Remotely Exploit :
Yes !
Source :
[email protected]
CVSS Scores
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | HIGH | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | HIGH | [email protected] | ||||
| CVSS 3.1 | HIGH | MITRE-CVE | ||||
| CVSS 4.0 | HIGH | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | HIGH | [email protected] |
Solution
- Sanitize all user-supplied input used in shell commands.
- Validate backup directory path against allowed characters.
- Use shell argument escaping functions.
- Update sysPass to the latest version.
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2026-63725.
| URL | Resource |
|---|---|
| https://gist.github.com/W40X/6747ba1b7da7bb69b0c0e162628df279 | |
| https://github.com/nuxsmin/sysPass |
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2026-63725 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2026-63725
weaknesses.
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2026-63725 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2026-63725 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 24, 2026
Action Type Old Value New Value Changed Translation Title: sysPass de nuxsmin, Description: El método FileBackupService::doBackupFiles() de sysPass en lib/SP/Services/Backup/FileBackupService.php, alrededor de la línea 388, construye un comando de shell tar concatenando la ruta del directorio de respaldo $this -> path directamente en la línea de comandos (’tar czf ’ . $backupFileApp . ’ ’ . BASE_PATH . ’ --exclude \“’ . $this -> path . ’\” 2>&1’) y pasa el resultado a la función exec() de PHP sin aplicar escapeshellarg() y sin validar la ruta contra un conjunto de caracteres seguro. El valor de $this -> path se lee de la configuración de sysPass, que se persiste en la base de datos y es escribible a través de la API de configuración de administrador y la interfaz de usuario de administrador. Un administrador (o un atacante que ha obtenido un token de API de administrador o una sesión de administrador) puede, por lo tanto, almacenar una ruta de respaldo que contenga metacaracteres de shell y activar una operación de respaldo para ejecutar comandos arbitrarios del sistema operativo como el usuario del proceso del servidor web (típicamente www-data o apache). Debido a que sysPass es un gestor de contraseñas cuyo único propósito es almacenar credenciales para otros sistemas, la ejecución de código como el usuario del servidor web permite leer la contraseña maestra y la clave de cifrado de sysPass de la memoria o de los archivos de configuración, descifrar cada credencial almacenada en la base de datos, exportar toda la bóveda de contraseñas, pivotar a sistemas internos utilizando las credenciales divulgadas e instalar puertas traseras persistentes en el host del gestor de contraseñas. Title: sysPass de nuxsmin, Description: El método FileBackupService::doBackupFiles() de sysPass en lib/SP/Services/Backup/FileBackupService.php, alrededor de la línea 388, construye un comando de shell tar concatenando la ruta del directorio de respaldo $this -mayor que path directamente en la línea de comandos (’tar czf ’ . $backupFileApp . ’ ’ . BASE_PATH . ’ --exclude \“’ . $this -mayor que path . ’\” 2mayor que y 1’) y pasa el resultado a la función exec() de PHP sin aplicar escapeshellarg() y sin validar la ruta contra un conjunto de caracteres seguro. El valor de $this -mayor que path se lee de la configuración de sysPass, que se persiste en la base de datos y es escribible a través de la API de configuración de administrador y la interfaz de usuario de administrador. Un administrador (o un atacante que ha obtenido un token de API de administrador o una sesión de administrador) puede, por lo tanto, almacenar una ruta de respaldo que contenga metacaracteres de shell y activar una operación de respaldo para ejecutar comandos arbitrarios del sistema operativo como el usuario del proceso del servidor web (típicamente www-data o apache). Debido a que sysPass es un gestor de contraseñas cuyo único propósito es almacenar credenciales para otros sistemas, la ejecución de código como el usuario del servidor web permite leer la contraseña maestra y la clave de cifrado de sysPass de la memoria o de los archivos de configuración, descifrar cada credencial almacenada en la base de datos, exportar toda la bóveda de contraseñas, pivotar a sistemas internos utilizando las credenciales divulgadas e instalar puertas traseras persistentes en el host del gestor de contraseñas. -
CVE Translated by [email protected]
Oct. 23, 2026
Action Type Old Value New Value Added Translation Title: sysPass de nuxsmin, Description: El método FileBackupService::doBackupFiles() de sysPass en lib/SP/Services/Backup/FileBackupService.php, alrededor de la línea 388, construye un comando de shell tar concatenando la ruta del directorio de respaldo $this -> path directamente en la línea de comandos (’tar czf ’ . $backupFileApp . ’ ’ . BASE_PATH . ’ --exclude \“’ . $this -> path . ’\” 2>&1’) y pasa el resultado a la función exec() de PHP sin aplicar escapeshellarg() y sin validar la ruta contra un conjunto de caracteres seguro. El valor de $this -> path se lee de la configuración de sysPass, que se persiste en la base de datos y es escribible a través de la API de configuración de administrador y la interfaz de usuario de administrador. Un administrador (o un atacante que ha obtenido un token de API de administrador o una sesión de administrador) puede, por lo tanto, almacenar una ruta de respaldo que contenga metacaracteres de shell y activar una operación de respaldo para ejecutar comandos arbitrarios del sistema operativo como el usuario del proceso del servidor web (típicamente www-data o apache). Debido a que sysPass es un gestor de contraseñas cuyo único propósito es almacenar credenciales para otros sistemas, la ejecución de código como el usuario del servidor web permite leer la contraseña maestra y la clave de cifrado de sysPass de la memoria o de los archivos de configuración, descifrar cada credencial almacenada en la base de datos, exportar toda la bóveda de contraseñas, pivotar a sistemas internos utilizando las credenciales divulgadas e instalar puertas traseras persistentes en el host del gestor de contraseñas. -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 07, 2026
Action Type Old Value New Value Added SSVC {'id': 'CVE-2026-63725', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'poc'}, {'automatable': 'no'}, {'technicalImpact': 'total'}], 'version': '2.0.3', 'timestamp': '2026-08-07T15:52:35.922490Z'} -
New CVE Received by [email protected]
Aug. 06, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'nuxsmin', 'product': 'sysPass', 'versions': [{'status': 'affected', 'version': '3.0.0', 'versionType': 'semver', 'lessThanOrEqual': '3.2.11'}], 'defaultStatus': 'affected'}] Added Description sysPass's FileBackupService::doBackupFiles() in lib/SP/Services/Backup/FileBackupService.php around line 388 builds a tar shell command by string-concatenating the backup directory path $this->path directly into the command line ('tar czf ' . $backupFileApp . ' ' . BASE_PATH . ' --exclude \"' . $this->path . '\" 2>&1') and passes the result to PHP's exec() with no application of escapeshellarg() and no validation of the path against a safe character set. The $this->path value is read from the sysPass configuration, which is persisted in the database and writable through the admin settings API and the admin UI. An administrator (or an attacker who has obtained an admin API token or admin session) can therefore store a backup path containing shell metacharacters and trigger a backup operation to execute arbitrary OS commands as the web server process user (typically www-data or apache). Because sysPass is a password manager whose sole purpose is to hold credentials for other systems, code execution as the web-server user permits reading sysPass's master password and encryption key from memory or configuration files, decrypting every stored credential in the database, exporting the entire password vault, pivoting to internal systems using the disclosed credentials, and installing persistent backdoors on the password-manager host. Added CVSS V4.0 AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X Added CVSS V3.1 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H Added CWE CWE-78 Added Reference https://gist.github.com/W40X/6747ba1b7da7bb69b0c0e162628df279 Added Reference https://github.com/nuxsmin/sysPass