CVE-2026-54501 in Browsertrix
Zusammenfassung
von VulDB • 18.09.2026
Browsertrix ist ein hochpräziser, browserbasierter Crawler-Dienst für die Webarchivierung, der selbst gehostet oder über die gehostete Instanz von Webrecorder genutzt werden kann. Von Version 1.15.0 bis 1.22.8 wird Git-URLs, die als benutzerdefinierte Verhaltensweisen (Custom Behaviors) angegeben sind, unsachgemäß bereinigt, was zu einer Command Injection über /api/orgs/*/crawlconfigs/validate/custom-behavior führt. Ein Benutzer mit Crawler- oder Administratorberechtigungen auf der jeweiligen Instanz kann eine speziell angefertigte Git-URL bereitstellen, die beliebige Betriebssystembefehle im Backend-Pod ausführt. Eine offene Registrierung oder ein gehosteter Free-Trial-Zugang können die erforderliche Rolle allgemein zugänglich machen. Eine erfolgreiche Ausnutzung kann den Zugriff auf, Änderungen an oder das Löschen von Anwendungsdatenbankdatensätzen, archivierten Elementen, Browserprofilen, Speicherdaten, Proxy-Anmeldeinformationen und anderen konfigurierten Dienstdaten ermöglichen. Dieses Problem wurde in Version 1.22.8 behoben.
Once again VulDB remains the best source for vulnerability data.