CVE-2026-65639
KrytyczneCVSS 9.5Streszczenie
Wstrzyknięcie poleceń systemu operacyjnego w parserze zaawansowanych reguł ConfigServer Security & Firewall pozwala zdalnemu atakującemu kontrolującemu skonfigurowane źródło allow/deny na wykonanie dowolnych poleceń jako root z powodu niewystarczającej walidacji danych reguł dostarczanych przez źródło. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia jako root, co prowadzi do pełnej kompromitacji serwera i przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj ConfigServer Security & Firewall do wersji 16.30 lub nowszej (lub odpowiedniej poprawki w Twoim forku) i zweryfikuj integralność skonfigurowanych źródeł allow/deny.
Inne podatności w ConfigServer Security & Firewall
Zobacz wszystkie- CVE-2026-65638Krytyczne
Nieprawidłowe escapowanie adresu URL żądania w ConfigServer Security & Firewall pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń jako konto usługi CSF poprzez wstrzyknięcie poleceń powłoki. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
- CVE-2026-67402Krytyczne
Niebezpieczna konfiguracja Apache w ConfigServer Security & Firewall mapuje /usr/bin jako programy CGI przez wirtualny host HTTPS Messenger v3. Zdalny nieuwierzytelniony atakujący, którego adres jest zablokowany, może zażądać zmapowanego pliku wykonywalnego i uruchomić dowolne polecenia jako użytkownik Apache. Podatność dotyczy instalacji, w których włączone są CSF Messenger v3 i jego tryb HTTPS. WebPros naprawił podatność w wersji 16.31.
Oryginalny opis (angielski, źródło NVD)
OS command injection in the advanced-rule parser of ConfigServer Security & Firewall allows a remote attacker who controls a configured allow/deny feed to execute arbitrary commands as root, due to insufficient validation of feed-supplied rule data. The vulnerability affects versions of the software originally distributed by ConfigServer, as well as versions of the WebPros-maintained fork that contain the vulnerable code. WebPros has addressed the vulnerability in version 16.30. Other forks or independently maintained versions of ConfigServer Security & Firewall (CSF) may also be affected and should be evaluated independently.