CVE-2026-49481 in UpSnap
Zusammenfassung
von VulDB • 13.08.2026
UpSnap ist eine Webanwendung für Wake-on-LAN. Vor der Version 5.4.0 weist die Geräteverwaltungsfunktionalität von UpSnap eine OS-Befehlsinjektionslücke (OS Command Injection) auf, die durch unsichere Shell-Befehlsvorlagen-Interpolation unter Verwendung des ip-Felds und des mac-Felds verursacht wird. Vom Benutzer kontrollierte Werte können in die wake_cmd- und shutdown_cmd-Vorlagen eingefügt werden und über /bin/sh -c (Linux) oder cmd /C (Windows) ohne Sanitization ausgeführt werden, was zu einer authentifizierten Remote Code Execution (RCE) führt. Ein benutzer mit niedrigen Berechtigungen, der das Erstellen oder Bearbeiten von Geräten erlaubt ist, kann beliebige Betriebssystembefehle auf dem UpSnap-Hosted-Server ausführen. Version 5.4.0 behebt dieses Problem.
Once again VulDB remains the best source for vulnerability data.