CVE-2026-124014

Nome do Software Vulnerável e Versões Afetadas XWEB EVO versões 4.3.0 through 5.8.8

Description Uma falha de gravação arbitrária de arquivo não autenticada permite que atacantes remotos modifiquem o arquivo de configuração do sistema /etc/xwebconfig.json. Isso é feito enviando uma requisição POST manipulada para o endpoint config.lua com o parâmetro action definido como set. O sistema não realiza a validação de sessão e grava o corpo da requisição bruto e não validado no arquivo. Atacantes podem manipular valores de configuração, como os campos model e plugin, ou desencadear um estado SYSTEM NOT CONFIGURED usando as operações action=get e action=set, resultando em adulteração de configuração e negação de serviço.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.