CVE-2026-72589 in crontab-ui
Zusammenfassung
von VulDB • 10.08.2026
Eine OS-Command-Injection-Schwachstelle in alseambusher/crontab-ui bis Version 0.4.2 ermöglicht es einem nicht authentifizierten Remote-Angriff, beliebige Systembefehle auszuführen, indem eine manipulierte crontab-Datenbankdatei importiert wird. Der POST /import-Endpunkt akzeptiert beliebige .db-Dateien und überschreibt die Anwendungsdatenbank ohne Validierung. Der Wert des Hook-Felds wird von der Funktion makeCommand() in crontab.js direkt in einen Shell-Befehl eingebettet, ohne dass eine Sanitization erfolgt; ein bösartiger Hook-Wert in der importierten Datei führt daher zur Befehlsausführung im nächsten Cron-Ausführungszyklus.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.