CVE-2026-88062

Nome do Software Vulnerável e Versões Afetadas OmniRoute versões 3.x até 3.8.49

Description O OmniRoute contém uma falha de execução remota de código (RCE) no endpoint POST /api/acp/agents utilizado para registrar agentes ACP personalizados. O endpoint aceita valores controlados pelo usuário para binary e versionCommand, que são processados pela função resolveVersionProbe(). Esta função realiza apenas uma verificação de autoconsistência para garantir que o primeiro token de versionCommand corresponda ao valor de binary. Como ambos os parâmetros são controlados pelo invasor, é possível burlar essa verificação fornecendo um interpretador correspondente (ex: node) e um argumento de avaliação (ex: node -e).

A requisição subsequentemente aciona a função refreshAgentCache(), que leva à execução do comando via execFileSync(). Embora a função tokenizeVersionCommand() e o filtro DISALLOWED VERSION COMMAND CHARS bloqueiem alguns metacaracteres de shell, eles não impedem o uso de argumentos de avaliação de interpretador.

Se requireLogin estiver definido como false ou se o sistema estiver em uma janela de bootstrap de instância nova sem uma senha de gerenciamento, um invasor remoto anônimo pode executar código arbitrário dentro do container do servidor. Se requireLogin estiver ativado, a exploração requer uma sessão de gerenciamento ou uma chave de API com escopo de gerenciamento.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint POST /api/acp/agents ou garanta que requireLogin esteja definido como true com uma senha de gerenciamento forte configurada.