CVE-2026-107202

Nome do Software Vulnerável e Versões Afetadas h-ui versões anteriores a v0.0.26

Description Um problema de injeção de comando existe na API administrativa devido à validação inadequada do campo de configuração listen. Quando um administrador autenticado fornece um valor contendo metacaracteres de shell, a aplicação utiliza fmt.Sprintf para construir strings de regras nftables ou iptables e as executa via bash -c com privilégios de root. A falta de validação de porta ou formato no campo listen permite a injeção e execução de comandos arbitrários do sistema operacional como root.

Recommendations Atualize o h-ui para uma versão posterior à v0.0.25. Como mitigação temporária, restrinja o acesso à API administrativa e evite inserir metacaracteres de shell no campo de configuração listen.