CVE-2026-45559
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, funkcja get_ldap_email buduje filtr wyszukiwania LDAP poprzez konkatenację f-stringów, co pozwala na wstrzykiwanie dodatkowych klauzul przez nieodpowiednio przetworzony parametr ścieżki URL z nazwą użytkownika.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do enumeracji lub zbierania atrybutów spoza zamierzonego rekordu, co może prowadzić do ujawnienia wrażliwych informacji. Brak publicznie dostępnych poprawek zwiększa ryzyko dla organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Roxy-WI, gdy tylko poprawki będą dostępne. Należy również rozważyć dodatkowe zabezpieczenia, takie jak walidacja i eskapowanie danych wejściowych użytkownika.
Inne podatności w Roxy-WI
Zobacz wszystkie- CVE-2026-45558Krytyczne
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, punkty końcowe section-save HAProxy akceptują niezweryfikowane pole opcji JSON, co pozwala na wstrzykiwanie dowolnych dyrektyw HAProxy do konfiguracji.
- CVE-2026-45556Krytyczne
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, pole config_file_name w żądaniu POST /waf/<service>/<server_ip>/rule/<rule_id>/save nie jest odpowiednio walidowane, co pozwala atakującemu na zapisanie pliku w dowolnej lokalizacji na systemie plików load balancera.
- CVE-2026-45552Krytyczne
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, brak odpowiednich dekoratorów w niektórych punktach końcowych pozwala każdemu zalogowanemu użytkownikowi, w tym domyślnemu gościowi, na instalację i rekonfigurację eksportera, WAF oraz baz danych GeoIP na wszystkich serwerach w bazie danych Roxy-WI.
- CVE-2026-45550Krytyczne
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, funkcjonalność PUT /smon/check nie weryfikuje, czy identyfikator check_id należy do grupy użytkownika, co pozwala na nieautoryzowane modyfikacje monitorowania innych użytkowników.
- CVE-2026-45569Wysokie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych występuje luka, która pozwala na obejście zabezpieczeń związanych z walidacją ścieżek, co może prowadzić do ataków typu path traversal.
- CVE-2026-45567Wysokie
Roxy-WI, interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived, ma lukę w autoryzacji w wersjach 8.2.6.4 i wcześniejszych. Luka ta pozwala na ominięcie autoryzacji poprzez użycie podciągu 'api' w URL oraz dostęp do nieautoryzowanego /api/gpt.
- CVE-2026-45566Średnie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, proces logowania nieprawidłowo obsługuje adresy URL, co pozwala na wykorzystanie ataku typu open redirect.
- CVE-2026-45565Wysokie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, centralny walidator Pydantic nie blokuje odpowiednio metaznaków, co pozwala atakującemu na wstrzyknięcie nieautoryzowanych poleceń.
- CVE-2026-45564Wysokie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, parametr configver w ścieżce URL jest interpolowany bez odpowiedniej walidacji, co prowadzi do możliwości wstrzyknięcia polecenia systemowego przez uwierzytelnionego użytkownika.
- CVE-2026-45563Średnie
Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach 8.2.6.4 i wcześniejszych, parametr ścieżki server_ip w GET /history/<service>/<server_ip> jest wykorzystywany jako identyfikator użytkownika, gdy service == 'user', bez sprawdzenia autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, get_ldap_email (app/modules/roxywi/user.py:120-157) builds the LDAP search filter via f-string concatenation. The username URL path parameter is taken verbatim — no checkAjaxInput, no LDAP escape — and inserted, a username like *)(mail=*)(cn=* injects additional clauses, allowing the admin to enumerate or harvest attributes outside the intended record. At time of publication, there are no publicly available patches.