CVE-2026-72590

Nome do Software Vulnerável e Versões Afetadas alseambusher/crontab-ui versões anteriores a 0.4.3

Descrição Uma falha de injeção de comando de SO permite que um invasor remoto não autenticado injete entradas arbitrárias de cron job. Isso ocorre quando uma requisição GET manipulada é enviada para o endpoint '/crontab' com quebras de linha codificadas em URL no parâmetro env vars. O manipulador anexa o valor de env vars diretamente à string do arquivo crontab como '${envVars} ' sem remover os caracteres de nova linha, permitindo a inserção de expressões cron arbitrárias que executam comandos controlados pelo invasor.

Recomendações Atualize o alseambusher/crontab-ui para a versão 0.4.3 ou posterior. Evite usar o parâmetro env vars no endpoint '/crontab' até que o software seja atualizado.