CVE-2026-33208 in Roxy-WI
Zusammenfassung
von VulDB • 10.05.2026
Roxy-WI ist eine Weboberfläche zur Verwaltung von Haproxy-, Nginx-, Apache- und Keepalived-Servern. Vor Version 8.2.6.4 führt der Endpunkt /config/ /find-in-config in Roxy-WI keine ordnungsgemäße Bereinigung (Sanitization) des benutzerspezifischen Parameters „words“ durch, bevor dieser in einen Shell-Befehlsstring eingebettet und anschließend über SSH auf einem remote verwalteten Server ausgeführt wird. Ein authentifizierter Angreifer kann willkürliche Shell-Metazeichen injizieren, um aus dem vorgesehenen grep-Befehlskontext auszubrechen und beliebige OS-Befehle mit sudo-Berechtigungen auf dem Zielserver auszuführen, was zu einer vollständigen Remote Code Execution (RCE) führt. Die Version 8.2.6.4 behebt das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.