CVE-2026-72589
KrytyczneCVSS 9.8Streszczenie
crontab-ui do wersji 0.4.2 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych przez import spreparowanego pliku bazy danych crontab. Endpoint POST /import akceptuje dowolne pliki .db i nadpisuje bazę danych bez walidacji.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj crontab-ui do wersji z poprawką i ogranicz dostęp do endpointu importu.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to execute arbitrary system commands by importing a crafted crontab database file. The POST /import endpoint accepts arbitrary .db files and overwrites the application database without validation.