CVE-2026-27811
WysokieStreszczenie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. Przed wersją 8.2.6.3 istniała podatność na wstrzykiwanie poleceń w punkcie końcowym `/config/compare/<service>/<server_ip>/show`, która pozwalała uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń systemowych na hoście aplikacji.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym uzyskanie pełnej kontroli nad systemem, co może skutkować utratą danych lub przerwaniem działania usług.
Rekomendacja
Zaleca się aktualizację do wersji 8.2.6.3 lub nowszej, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa w celu zidentyfikowania potencjalnych zagrożeń.
Powiązane podatności
- CVE-2026-90847Krytyczne
W urządzeniu EFM ipTIME C200E w wersji 1.094 wykryto podatność w nieznanej funkcji pliku iux_set.cgi w komponencie System Setup. Manipulacja powoduje wstrzyknięcie poleceń systemu operacyjnego. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-12944Krytyczne
IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 pozwala atakującym na wykonanie dowolnego kodu Pythona z uprawnieniami roota (UID=0) na serwerze Langflow poprzez przesłanie komponentów zawierających importy socket lub urllib. Umożliwia to kradzież poświadczeń AWS przez SSRF IMDSv1, eksfiltrację plików z kontenera oraz ruch boczny do usług wewnętrznych (PostgreSQL, Redis). Skaner błędnie zwraca "validated": true, dając fałszywy sygnał bezpieczeństwa.
- CVE-2026-67399Krytyczne
W WHMCS w wersjach 9.0.0 do 9.0.8 oraz 8.0.0 do 8.13.7 występuje deserializacja niezaufanych danych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2026-65414Krytyczne
W produktach Apple występuje luka typu out-of-bounds write wynikająca z nieprawidłowego sprawdzania granic. Zdalny atakujący może spowodować nieoczekiwane zakończenie aplikacji lub wykonanie dowolnego kodu. Luka została naprawiona w iOS 26.7, iPadOS 26.7, iOS 27, iPadOS 27, macOS Golden Gate 27, macOS Sequoia 15.8, macOS Tahoe 26.7, tvOS 27, visionOS 27 oraz watchOS 27.
- CVE-2026-53713Krytyczne
Envoy Gateway przed wersjami 1.7.4 i 1.8.1 nie zwija nadmiarowych separatorów w to_absolute_normalized_path w pliku internal/gatewayapi/luavalidator/security.lua przed oceną is_critical_path dla Lua przesyłanego przez EnvoyExtensionPolicy podczas domyślnej walidacji Strict. Linux traktuje podwójny ukośnik jako pojedynczy, ale walidator nie dopasowuje tej formy, co pozwala przesłanemu Lua na odczyt dowolnych plików z podu kontrolera gateway. Ujawnione pliki mogą zawierać tokeny konta usługi Kubernetes, certyfikaty TLS i dane środowiskowe procesu, a ujawnione poświadczenia mogą zapewnić dostęp do wrażliwych informacji z Kubernetes API Server lub Gateway xDS server. Luka została naprawiona w wersjach 1.7.4 i 1.8.1.
- CVE-2026-55209Krytyczne
resdata przed wersją 6.2.9 niewystarczająco waliduje pola numeryczne, wymiary siatki, rozmiary słów kluczowych i indeksy tablic podczas parsowania niezaufanych plików GRDECL w lib/resdata/rd_kw_grdecl.cpp i lib/resdata/rd_grid.cpp. Zniekształcone dane COORD, ZCORN, CORSNUM, ACTNUM lub MAPAXES mogą prowadzić do przepełnienia bufora, odczytów poza zakresem, nieprawidłowego dostępu do tablicy, dereferencji wskaźnika NULL, uszkodzenia pamięci lub zakończenia usługi. Luka została naprawiona w wersji 6.2.9.
- CVE-2026-54334Krytyczne
UEFI Firmware Parser przed wersją 1.14 zawiera błąd w ReadCLen() w uefi_firmware/compression/Tiano/Decompress.c, gdzie odczyt Number z GetBits(Sd, CBIT) z CBIT = 9 może uzyskać 511 wpisów dla 510-elementowej tablicy Sd->mCLen, ponieważ pętla nie wymusza Index < NC. Ścieżka run-length CharC == 2 może dodatkowo zażądać do 531 zapisów zerowych przez Sd->mCLen[Index++] = 0. Złośliwe oprogramowanie układowe Tiano lub EFI może uszkodzić pamięć sterty, spowodować awarię procesu parsowania i potencjalnie wykonać kod. Luka została naprawiona w wersji 1.14.
- CVE-2026-54333Krytyczne
UEFI Firmware Parser przed wersją 1.14 zawiera błąd w MakeTable() w uefi_firmware/compression/Tiano/Decompress.c, gdzie nie sprawdza się, czy wartości długości bitów odczytane ze spreparowanego strumienia bitowego Tiano lub EFI mieszczą się w zakresie od 0 do 16. Ścieżka parsowania CompressedSection.process() do efi_compressor.TianoDecompress() do TianoDecompress() do ReadPTLen() do MakeTable() może zapisać poza tablicą Count[17] na stosie i powiązanymi tablicami dekodującymi. Powstałe uszkodzenie stosu powoduje awarię procesu parsowania i może umożliwić wykonanie kodu. Luka została naprawiona w wersji 1.14.
- CVE-2026-50006Krytyczne
Anyquery przed wersją 0.4.5 przekazuje nieuwierzytelnione zapytania SQL z portu serwera kompatybilnego z MySQL do SQLite bez ograniczania celów systemu plików ATTACH DATABASE. Zdalny atakujący może wybrać dowolną ścieżkę zapisywalną przez proces serwera Anyquery, spowodować utworzenie tam pliku bazy danych przez SQLite i umieścić w nim kontrolowaną przez siebie treść tabeli. Umożliwia to tworzenie lub nadpisywanie dowolnych plików, powodując utratę integralności systemu plików i odmowę usługi; zdalne wykonanie kodu jest możliwe tylko wtedy, gdy inna usługa interpretuje zapisany plik lub proces ma odpowiednio uprzywilejowany cel zapisu. Luka została naprawiona w wersji 0.4.5.
- CVE-2026-16338Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
Oryginalny opis (angielski, źródło NVD)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. Prior to version 8.2.6.3, a command injection vulnerability exists in the `/config/compare/<service>/<server_ip>/show` endpoint, allowed authenticated users to execute arbitrary system commands on the app host. The vulnerability exists in `app/modules/config/config.py` on line 362, where user input is directly formatted in the template string that is eventually executed. Version 8.2.6.3 fixes the issue.