CVE-2026-28517
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku report_network_map.php. Aplikacja pobiera parametr konfiguracyjny 'dot' z bazy danych i przekazuje go bezpośrednio do funkcji exec() bez walidacji lub sanityzacji.
Ocena ryzyka
Atakujący, który może zmodyfikować wartość fac_Config.dot w bazie danych, może wykonać dowolne polecenia systemowe w kontekście procesu serwera WWW, co prowadzi do pełnego przejęcia kontroli nad serwerem.
Rekomendacja
Należy natychmiast zaktualizować openDCIM do wersji zawierającej poprawkę po commicie 4467e9c4 lub zastosować obejście polegające na ścisłej walidacji i sanityzacji parametru 'dot' przed przekazaniem go do exec().
Oryginalny opis (angielski, źródło NVD)
openDCIM version 23.04, through commit 4467e9c4, contains an OS command injection vulnerability in report_network_map.php. The application retrieves the 'dot' configuration parameter from the database and passes it directly to exec() without validation or sanitization. If an attacker can modify the fac_Config.dot value, arbitrary commands may be executed in the context of the web server process.