PT-2026-102427 · Raspap · Raspap-Webgui

Inmoyang

·

CVE-2026-101859

·

Publicado

2026-09-29

·

Atualizado

2026-09-29

CVSS v2.0

5.5

Média

VetorAV:N/AC:L/Au:S/C:N/I:P/A:P
Nome do Software Vulnerável e Versões Afetadas RaspAP raspap-webgui versões anteriores a 3.5.6
Description Uma falha de injeção de comando de SO existe no componente OpenVPN Configuration Handler. O problema ocorre na função escapeshellcmd() localizada no arquivo ajax/openvpn/del ovpncfg.php. Um invasor remoto pode explorar isso manipulando o argumento cfg id para executar comandos arbitrários do sistema operacional.
Recommendations Atualize o RaspAP raspap-webgui para a versão 3.5.6 ou posterior. Como mitigação temporária, restrinja o acesso ao arquivo ajax/openvpn/del ovpncfg.php.

Exploit

Correção

Command Injection

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-77CWE-78

Identificadores relacionados

CVE-2026-101859

Produtos afetados

Raspap-Webgui