CVE-2026-48708
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
OliveTin w wersjach 3000.0.0 i wcześniejszych umożliwia dostęp do zdefiniowanych poleceń powłoki z interfejsu webowego. Wykorzystanie wspólnej instancji silnika szablonów bez synchronizacji prowadzi do warunków wyścigu, co skutkuje zanieczyszczeniem poleceń między użytkownikami oraz błędami wykonania.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane wykonanie poleceń oraz awarie aplikacji, co może prowadzić do poważnych problemów z bezpieczeństwem i stabilnością systemu.
Rekomendacja
Zaleca się aktualizację do wersji 3000.13.0 lub nowszej, aby usunąć tę podatność i zapewnić prawidłowe działanie aplikacji.
Oryginalny opis (angielski, źródło NVD)
OliveTin gives access to predefined shell commands from a web interface. In versions 3000.0.0 and prior, the template engine uses a single shared text/template.Template instance (tpl package-level variable in service/internal/tpl/templates.go) across all goroutines. Every action execution calls tpl.Parse(source) followed by t.Execute() on this shared instance with no synchronization. When two or more actions execute concurrently (which is the normal case — each ExecRequest spawns a goroutine), a race condition occurs: one goroutine's Parse overwrites the template tree while another goroutine is calling Execute, causing cross-user command contamination, Go runtime panic, and incorrect command execution. This issue has been resolved in version 3000.13.0.