CVE-2026-45558
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 — wyżej niż 42% wszystkich znanych CVE
Streszczenie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, punkty końcowe section-save HAProxy akceptują niezweryfikowane pole opcji JSON, co pozwala na wstrzykiwanie dowolnych dyrektyw HAProxy do konfiguracji.
Ocena ryzyka
Zagrożenie polega na możliwości zdalnego wykonania kodu na load balancerze przez uwierzytelnionego użytkownika, co może prowadzić do poważnych naruszeń bezpieczeństwa w infrastrukturze organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Roxy-WI oraz wdrożenie dodatkowych mechanizmów weryfikacji i walidacji danych wejściowych w konfiguracji HAProxy.
Oryginalny opis (angielski, źródło NVD)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, the HAProxy section-save endpoints (POST /api/service/haproxy/<server_id>/section/<section_type> and the PUT / global / defaults variants) accept a JSON option field that is not validated, not escaped, and is rendered verbatim into the generated HAProxy configuration via the section.j2, global.j2, and defaults.j2 Ansible templates. Because Roxy-WI then pushes the generated config to the load balancer and runs systemctl reload haproxy, an authenticated user with role ≤ 3 (user) can inject arbitrary HAProxy directives into the config that runs on every load balancer their group manages — including option external-check + external-check command /bin/bash -c '…', which gives remote code execution on the load balancer as the haproxy user on every health-check tick. At time of publication, there are no publicly available patches.