CVE-2025-61541
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Webmin 2.510 jest podatny na wstrzyknięcie nagłówka Host w funkcji resetowania hasła (forgot_send.cgi). Link resetujący wysyłany do użytkownika jest konstruowany na podstawie nagłówka HTTP Host poprzez get_webmin_email_url(), co pozwala atakującemu wstrzyknąć złośliwą domenę do wiadomości e-mail. Jeśli ofiara kliknie zatruty link, atakujący może przechwycić token resetowania i przejąć pełną kontrolę nad kontem.
Ocena ryzyka
Przejęcie konta użytkownika, w tym administratora, może prowadzić do nieautoryzowanego dostępu do systemu i jego konfiguracji.
Rekomendacja
Należy zaktualizować Webmin do wersji zawierającej poprawkę oraz skonfigurować serwer tak, aby wymuszał prawidłową wartość nagłówka Host.
Inne podatności w Webmin
Zobacz wszystkie- CVE-2026-124552Średnie
Webmin do wersji 2.670 zawiera podatność na przechowywany cross-site scripting w modułach Shorewall i Shorewall6 list.cgi, które renderują pola tabeli i linie COMMENT bez escapowania. Uwierzytelnieni użytkownicy z uprawnieniami do edycji tabel mogą przechowywać JavaScript poprzez savecmt.cgi lub wpisy tabel, które wykonują się, gdy inni użytkownicy, w tym root, przeglądają stronę listy.
- CVE-2017-15645Wysokie
W Webmin 1.850 występuje podatność CSRF, która umożliwia atakującemu wykonanie dowolnych poleceń poprzez wysłanie żądania GET do at/create_job.cgi z parametrami dir=/&cmd= w URI.
- CVE-2017-15644Wysokie
W Webmin 1.850 występuje podatność typu SSRF, która umożliwia atakującemu wykorzystanie parametru PATH_INFO do przeprowadzenia żądania GET do tunnel/link.cgi z zewnętrznym adresem IP.
- CVE-2026-49243Krytyczne
Webmin przed wersją 2.650 zawiera podatność XSS, która może zostać wykorzystana, gdy użytkownik kliknie złośliwy link prowadzący do serwera. Atakujący może wykonać dowolne komendy w kontekście użytkownika.
- CVE-2019-15107KrytyczneAktywnie exploitowane
Podatność w Webmin w wersji 1.920 i wcześniejszych. Parametr 'old' w pliku password_change.cgi zawiera podatność na wstrzykiwanie poleceń.
- CVE-2026-102337Średnie
W Webmin przed wersją 2.652 niezaufani użytkownicy z dostępem do modułów File Manager lub Upload and Download mogą skierować funkcję pobierania z adresu URL po stronie serwera do niepublicznych adresów sieciowych, ponieważ cele pobierania nie są ograniczane przez rozwiązany adres IP. Umożliwia to żądania do nieuwierzytelnionych usług intranetowych lub endpointów metadanych instancji dostawcy chmury, niedostępnych z systemu użytkownika.
- CVE-2026-42210Średnie
Webmin to internetowe narzędzie do administracji systemem dla serwerów Unix-like. Przed wersją 2.640, dla kont Webmin wymagających drugiego czynnika uwierzytelniania (zwykle TOTP), atakujący znający nazwę użytkownika i hasło może ominąć wymóg 2FA, używając uwierzytelniania Basic. Jako obejście, można ręcznie zastosować łatkę z commita da18a16c84ae5c0b78cad79609cb0efb174000ec.
- CVE-2026-56022Średnie
Webmin akceptuje podstawowe uwierzytelnianie bez ciasteczek sesji, gdy atakujący poda nagłówek 'User-Agent: webmin', co pozwala ominąć dodatkowe wymagania MFA. Podatność naprawiona w wersji 2.640.
- CVE-2026-56021Średnie
Webmin umożliwia nieautoryzowanym atakującym odczyt zawartości dowolnego pliku kończącego się na .conf w katalogach modułów, z powodu podatności w wyrażeniu regularnym.
- CVE-2026-56020Wysokie
Serwer HTTP Webmin (miniserv.pl) pozwala nieuwierzytelnionym atakującym na podszywanie się pod dowolnego użytkownika z skonfigurowanym certyfikatem klienta SSL, wysyłając sfałszowany nagłówek HTTP. Atakujący może sfałszować DN certyfikatu i uwierzytelnić się jako dowolny użytkownik. Poprawka w wersji 2.202.
Oryginalny opis (angielski, źródło NVD)
Webmin 2.510 is vulnerable to a Host Header Injection in the password reset functionality (forgot_send.cgi). The reset link sent to users is constructed using the HTTP Host header via get_webmin_email_url(). An attacker can manipulate the Host header to inject a malicious domain into the reset email. If a victim follows the poisoned link, the attacker can intercept the reset token and gain full control of the target account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS