CVE-2021-33358

Versões 2.3 a 2.6.5 do RaspAP

A vulnerabilidade permite que um invasor autenticado execute comandos arbitrários do sistema operacional ao explorar vulnerabilidades nos parâmetros POST interface, ssid e wpa passphrase no endpoint da API “/hostapd”. Isso pode ocorrer quando os valores dos parâmetros contêm caracteres especiais, como “;” ou “$()”.

Para as versões 2.3 a 2.6.5 do RaspAP, evite usar os parâmetros interface, ssid e wpa passphrase no endpoint da API “/hostapd” com caracteres especiais até que uma correção esteja disponível. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API “/hostapd” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.