CVE-2026-107202 in h-ui
Zusammenfassung
von VulDB • 07.10.2026
In der Verwaltungs-API von h-ui (Version v0.0.25 und älter) besteht eine Command-Injection-Schwachstelle aufgrund einer unzureichenden Validierung des Konfigurationsfelds „listen“. Wenn ein authentifizierter Administrator einen Wert mit Shell-Metazeichen übermittelt, erstellt die Anwendung nftables/iptables-Regelstrings mittels fmt.Sprintf und führt diese über bash -c als root aus. Da das Feld „listen“ weder eine Port- noch Formatvalidierung aufweist, können beliebige OS-Befehle injiziert und mit Root-Rechten ausgeführt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.