CVE-2026-72589
KrytyczneCVSS 9.8Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w alseambusher/crontab-ui do wersji 0.4.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń systemowych przez zaimportowanie spreparowanego pliku bazy danych crontab. Endpoint POST /import przyjmuje dowolne pliki .db i nadpisuje bazę danych aplikacji bez walidacji. Wartość pola hook jest osadzana bezpośrednio w poleceniu powłoki bez sanityzacji, co prowadzi do wykonania poleceń podczas następnego cyklu cron.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych i trwałego uszkodzenia aplikacji.
Rekomendacja
Należy zaktualizować crontab-ui do wersji z poprawką, a także ograniczyć dostęp do endpointu importu i walidować importowane pliki przed ich przetworzeniem.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to execute arbitrary system commands by importing a crafted crontab database file. The POST /import endpoint accepts arbitrary .db files and overwrites the application database without validation. The hook field value is embedded directly into a shell command by crontab.js makeCommand() without sanitization, so a malicious hook value in the imported file results in command execution on the next cron execution cycle.