CVE-2026-72603
KrytyczneCVSS 9.9Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w wg-easy 15.3.0. Użytkownik z uprawnieniem clients.create może wykonywać dowolne polecenia jako root, wstrzykując dyrektywy WireGuard PostUp do pola nazwy klienta. Nazwa klienta jest zapisywana do pliku konfiguracyjnego bez neutralizacji znaków nowej linii.
Ocena ryzyka
Atakujący z uprawnieniem clients.create może uzyskać pełną kontrolę nad hostem z uprawnieniami root, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaktualizuj wg-easy do wersji, która neutralizuje znaki nowej linii w nazwie klienta. Ogranicz przyznawanie uprawnienia clients.create tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in wg-easy 15.3.0 allows users with the clients.create permission to execute arbitrary commands as root by injecting newline-delimited WireGuard PostUp directives into the client name field. The client name is written to the WireGuard configuration file without neutralizing newline characters, allowing injection of arbitrary directives that are executed by wg-quick with root privileges. An attacker with clients.create permission achieves root code execution on the host.