CVE-2026-53534

JabRef, BibTeX və BibLaTeX kitabxanalarını idarə etmək üçün nəzərdə tutulmuş masaüstü tətbiqdir. Versiya 6.0-alpha.6-ya qədər, jabsrv və ya JabRef-in daxili HTTP serveri aktiv olduqda, GET /better-bibtex/cayw son nöqtəsi (endpoint) xarici əmr sorğu parametrini qəbul edir və CAYWQueryParams.getCommand() onu CAYWResource.getCitation() vasitəsilə PushToSublimeText.getCommandLine()-ə ötürür. Unix bənzəri sistemlərdə PushToSublimeText bu etibarsız cite-command prefiksini və sitat açarlarını bir sətirə birləşdirir və ProcessBuilder tərəfindən shell escape edilmədən sh -c vasitəsilə icra edilir. application=sublime parametri ilə localhost sorğusuna səbəb ola bilən müştəri, düzgün Sublime Text əmr yolu konfiqurasiya edildikdə və qurban CAYW seçimi dialoqunu tamamladıqda, shell meta simvolları inyeksiya edə və Əməliyyat Sistemi əmrlərini JabRef istifadəçisi kimi icra edə bilər. Daxili server standart olaraq deaktivdir, buna görə də istismar üçün qurbanın onu aktivləşdirməsi və ya jabsrv proqramını işə salması tələb olunur. Bu problem 6.0-alpha.6 versiyasında aradan qaldırılıb.