CVE-2026-65638
KrytyczneCVSS 9.2Streszczenie
Nieprawidłowe escapowanie adresu URL żądania w ConfigServer Security & Firewall pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń jako konto usługi CSF poprzez wstrzyknięcie poleceń powłoki. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne polecenia jako konto usługi CSF, co może prowadzić do kompromitacji systemu i eskalacji uprawnień.
Rekomendacja
Zaktualizuj ConfigServer Security & Firewall do wersji 16.30 lub nowszej (lub odpowiedniej poprawki w Twoim forku) i ogranicz dostęp sieciowy do interfejsu CSF.
Inne podatności w ConfigServer Security & Firewall
Zobacz wszystkie- CVE-2026-65639Krytyczne
Wstrzyknięcie poleceń systemu operacyjnego w parserze zaawansowanych reguł ConfigServer Security & Firewall pozwala zdalnemu atakującemu kontrolującemu skonfigurowane źródło allow/deny na wykonanie dowolnych poleceń jako root z powodu niewystarczającej walidacji danych reguł dostarczanych przez źródło. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
- CVE-2026-67402Krytyczne
Niebezpieczna konfiguracja Apache w ConfigServer Security & Firewall mapuje /usr/bin jako programy CGI przez wirtualny host HTTPS Messenger v3. Zdalny nieuwierzytelniony atakujący, którego adres jest zablokowany, może zażądać zmapowanego pliku wykonywalnego i uruchomić dowolne polecenia jako użytkownik Apache. Podatność dotyczy instalacji, w których włączone są CSF Messenger v3 i jego tryb HTTPS. WebPros naprawił podatność w wersji 16.31.
Oryginalny opis (angielski, źródło NVD)
Improper escaping of a request URL in ConfigServer Security & Firewall allows an unauthenticated remote attacker to execute arbitrary commands as the CSF service account via shell command injection. The vulnerability affects versions of the software originally distributed by ConfigServer, as well as versions of the WebPros-maintained fork that contain the vulnerable code. WebPros has addressed the vulnerability in version 16.30. Other forks or independently maintained versions of ConfigServer Security & Firewall (CSF) may also be affected and should be evaluated independently.