CVE-2026-72590
KrytyczneCVSS 9.8Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w alseambusher/crontab-ui do wersji 0.4.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie dowolnych wpisów cron przez spreparowane żądanie GET do /crontab z zakodowanymi znakami nowej linii w parametrze env_vars. Obsługa parametru bez usuwania znaków nowej linii umożliwia wstawienie dowolnych wyrażeń cron, które wykonują polecenia kontrolowane przez atakującego.
Ocena ryzyka
Atakujący może wykonywać dowolne polecenia na serwerze w kontekście usługi cron, co może prowadzić do pełnej kompromitacji systemu, instalacji złośliwego oprogramowania i naruszenia danych.
Rekomendacja
Należy zaktualizować crontab-ui do wersji z poprawką lub zastosować obejście, takie jak walidacja i sanityzacja parametru env_vars, aby uniemożliwić wstrzykiwanie nowych linii.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to inject arbitrary cron job entries by sending a crafted GET request to /crontab with URL-encoded newlines in the env_vars parameter. The handler appends the env_vars value directly to the crontab file string as '${envVars}\n' without stripping newline characters, enabling an attacker to insert arbitrary cron expressions that execute attacker-controlled commands.