Katalog CVE
CVE-2026-72590
KrytyczneCVSS 9.8Streszczenie
crontab-ui do wersji 0.4.2 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych wpisów cron przez spreparowane żądanie GET do /crontab z zakodowanymi znakami nowej linii w parametrze env_vars.
Ocena ryzyka
Atakujący może wykonywać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj crontab-ui do wersji, która zawiera poprawkę i ogranicz dostęp do aplikacji.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in alseambusher/crontab-ui through 0.4.2 allows an unauthenticated remote attacker to inject arbitrary cron job entries by sending a crafted GET request to /crontab with URL-encoded newlines in the env_vars parameter.