CVE-2026-49481
KrytyczneCVSS 9.6Streszczenie
UpSnap przed wersją 5.4.0 ma podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji zarządzania urządzeniami z powodu niebezpiecznej interpolacji szablonów poleceń powłoki z użyciem pól ip i mac. Wartości kontrolowane przez użytkownika mogą być wstawiane do szablonów wake_cmd i shutdown_cmd i wykonywane przez /bin/sh -c (Linux) lub cmd /C (Windows) bez sanityzacji, co prowadzi do uwierzytelnionego zdalnego wykonania kodu (RCE). Użytkownik z niskimi uprawnieniami, mający uprawnienia do tworzenia lub edycji urządzeń, może wykonać dowolne polecenia systemu operacyjnego na serwerze hostującym UpSnap. Wersja 5.4.0 naprawia ten problem.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może przejąć kontrolę nad serwerem UpSnap, co może prowadzić do pełnej kompromitacji i dostępu do wrażliwych danych.
Rekomendacja
Zaktualizuj UpSnap do wersji 5.4.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
UpSnap is a wake on lan web app. Versions prior to 5.4.0 have an OS command injection vulnerability in the UpSnap’s device management functionality due to the presence of unsafe shell command template interpolation using the ip and the mac fields. User-controlled values can be inserted into the wake_cmd and shutdown_cmd templates and executed via /bin/sh -c (Linux) or cmd /C (Windows) without sanitization, resulting in an authenticated Remote Code Execution (RCE). A low-privileged user with permission to create or edit devices can execute arbitrary operating system commands on the UpSnap hosted server. Version 5.4.0 patches the issue.