CVE-2026-72573
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w 4xmen/pm2panel (wszystkie wersje) pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń systemowych na hoście. Obsługa w pliku pm2panel.js w linii 188 przekazuje nieoczyszczony parametr req.query.id bezpośrednio do exec('pm2 restart ' + id) bez walidacji wejścia lub escapowania powłoki, umożliwiając łączenie poleceń za pomocą średników lub innych metaznaków powłoki.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, wykonać dowolne polecenia, zmodyfikować dane lub zainstalować złośliwe oprogramowanie, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie pm2panel do wersji z poprawką lub zastosowanie tymczasowych zabezpieczeń, takich jak walidacja i sanityzacja parametrów wejściowych oraz unikanie bezpośredniego użycia danych użytkownika w wywołaniach exec.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in 4xmen/pm2panel (all versions) allows an authenticated remote attacker to execute arbitrary system commands on the host. The pm2panel.js handler at line 188 passes the unsanitized req.query.id parameter directly to exec('pm2 restart ' + id) without input validation or shell escaping, enabling command chaining via semicolons or other shell metacharacters.