CVE-2026-107202
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-77
- KEV Durumu
- Hayır
Yayım tarihi: 7 Ekim 2026
h-ui (sürüm v0.0.25 ve aşağısındaki sürümler) yönetim API'sinde, dinleme yapılandırma alanının doğrulanmasında uygun olmayan bir işlem nedeniyle bir komut enjeksiyon zafiyeti mevcuttur. Kimliği doğrulanmış bir yönetici, kabuk meta karakterleri içeren bir değer gönderdiğinde, uygulama fmt.Sprintf kullanarak nftables/iptables kural dizeleri oluşturur ve bunları bash -c aracılığıyla kök olarak çalıştırır. Dinleme alanının port veya biçim doğrulaması olmaması nedeniyle, keyfi OS komutları enjekte edilebilir ve kök ayrıcalıkları ile çalıştırılabilir.
Orijinal açıklama (İngilizce)
A command injection vulnerability exists in the h-ui (version v0.0.25 and below) administrative API due to improper validation of the listen configuration field. When an authenticated administrator submits a value containing shell metacharacters, the application constructs nftables/iptables rule strings using fmt.Sprintf and executes them via bash -c as root. Because the listen field lacks port or format validation, arbitrary OS commands can be injected and executed with root privileges.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.