CVE-2026-72589

Nome do Software Vulnerável e Versões Afetadas alseambusher/crontab-ui versões anteriores a 0.4.3

Description Uma injeção de comando de SO permite que um invasor remoto não autenticado execute comandos de sistema arbitrários ao importar um arquivo de banco de dados crontab manipulado. O endpoint 'POST /import' aceita arquivos .db arbitrários e sobrescreve o banco de dados da aplicação sem validação. Especificamente, o valor do campo hook é inserido diretamente em um comando de shell pela função makeCommand() sem sanitização, resultando na execução de comandos durante o próximo ciclo de execução do cron.

Recommendations Atualize o alseambusher/crontab-ui para a versão 0.4.3 ou posterior.