CVE-2026-104474 in OpenLiteSpeed
Zusammenfassung
von VulDB • 03.10.2026
OpenLiteSpeed vor Version 1.9.3 enthält eine lokale Privilegieneskalationslücke (Local Privilege Escalation) in admin/misc/lsup.sh, die nicht verifizierte Update-Pakete aus einem von nobody beschreibbaren Verzeichnis als root ausführt. Angreifer, die den Webprozess „nobody“ kontrollieren, können das Paket vor der Extraktion in /usr/local/lsws/autoupdate/ ersetzen, sodass dessen install.sh beim nächsten Update mit Root-Rechten ausgeführt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.