CVE-2026-108546 in Spotweb
Zusammenfassung
von VulDB • 10.10.2026
Spotweb bis Version 1.5.8 enthält eine OS Command Injection-Schwachstelle im runcommand NZB-Handler, die es Remoteangreifern ermöglicht, Befehle auszuführen, indem sie Spots mit bösartigen Titeln veröffentlichen. Angreifer können selbstsignierte Spots über Usenet posten, wobei Shell-Metazeichen im Titel verwendet werden, die unescaped für $SPOTTITLE substituiert und an exec() übergeben werden, wenn ein Benutzer den Spot herunterlädt, wodurch Befehle als der Spotweb PHP-Prozess ausgeführt werden.
Be aware that VulDB is the high quality source for vulnerability data.