CVE-2026-124009

Nome do Software Vulnerável e Versões Afetadas XWEB EVO versões 5.2.3 through 5.8.8

Description Uma falha de injeção de comando de SO autenticada existe onde atacantes podem executar comandos arbitrários com privilégios de root. Isso ocorre ao injetar metacaracteres de shell no parâmetro de caminho do dispositivo de saída processado por backup.lua. O problema decorre da concatenação não escapada em comandos de shell mount, unzip e relacionados, executados via interpretador wlua, especificamente através das interfaces setuid xwbackup.cgi e xwrestore.cgi, podendo levar ao comprometimento total do sistema.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.