CVE-2026-89036

2.0.0 öncesindeki Appwrite, functions.write veya sites.write izinlerine sahip kimliği doğrulanmış kullanıcıların, GNU tar komutlarını oluşturmak için kullanılan providerRootDirectory parametresine TAB karakterleri enjekte ederek rastgele komutlar yürütmesine olanak tanıyan bir argüman enjeksiyonu zafiyeti içermektedir. Uygulamanın escapeshellarg yerine escapeshellcmd kullanması ve parametreyi tırnak içine almaması, TAB karakterlerinin temizleme işleminden sağ çıkmasına ve argüman ayırıcıları olarak yorumlanmasına neden olur; bu durum, build worker işlem kullanıcısı olarak uzaktan kod çalıştırma sağlamak amacıyla --checkpoint-action=exec gibi rastgele GNU tar argümanlarının enjekte edilmesine imkan tanır.