CVE-2026-101860
WysokieCVSS 8.8Streszczenie
W RaspAP raspap-webgui do wersji 3.5.5 wykryto podatność w funkcji PluginInstaller::addSudoers w pliku src/RaspAP/Plugins/PluginInstaller.php w komponencie konfiguracji sudo. Manipulacja prowadzi do niewłaściwego zarządzania uprawnieniami, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może uzyskać podwyższone uprawnienia w systemie, co może prowadzić do pełnej kompromitacji urządzenia i sieci, na której ono działa.
Rekomendacja
Ogranicz dostęp do interfejsu RaspAP, zweryfikuj i usuń nieautoryzowane wpisy w plikach sudoers oraz rozważ wdrożenie własnych poprawek, ponieważ producent nie wydał oficjalnego rozwiązania.
Inne podatności w RaspAP
Zobacz wszystkie- CVE-2026-101859Średnie
Wykryto podatność w RaspAP raspap-webgui do wersji 3.5.5 w funkcji escapeshellcmd pliku ajax/openvpn/del_ovpncfg.php komponentu OpenVPN Configuration Handler. Manipulacja argumentem cfg_id prowadzi do wstrzyknięcia poleceń systemowych. Atak może być przeprowadzony zdalnie, exploit jest publiczny.
- CVE-2026-101858Średnie
Wykryto podatność w RaspAP raspap-webgui do wersji 3.5.5 w funkcji WiFiManager::writeWpaSupplicant pliku src/RaspAP/Networking/Hotspot/WiFiManager.php komponentu SSID Processing. Manipulacja argumentem ssid prowadzi do wstrzyknięcia poleceń systemowych. Atak może być przeprowadzony zdalnie, exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in RaspAP raspap-webgui up to 3.5.5. Affected by this issue is the function PluginInstaller::addSudoers of the file src/RaspAP/Plugins/PluginInstaller.php of the component sudo Configuration. Performing a manipulation results in improper privilege management. The attack may be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS