CVE-2026-45565

Nome do Software Vulnerável e Versões Afetadas Roxy-WI versões anteriores a 8.2.6.5

Descrição O Roxy-WI é uma interface web para gerenciamento de servidores Haproxy, Nginx, Apache e Keepalived. A função EscapedString (localizada em app/modules/roxywi/class models.py:16-30) atua como um validador Pydantic centralizado para diversos campos, como nome de credencial SSH, nome de usuário e descrição. Uma falha no fluxo de lógica permite que um invasor ignore o bloqueio de sequências de travessia de diretório (..) ao anexar metacaracteres específicos como ;, &, |, $ ou crases. Isso faz com que a entrada seja processada por um mecanismo de remoção que não bloqueia a sequência de travessia nem aplica o shlex.quote(), podendo levar à injeção de comandos ou acesso não autorizado a arquivos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.