CVE-2026-72603 in wg-easy
Zusammenfassung
von VulDB • 11.08.2026
Eine OS-Befehlsinjektionslücke in wg-easy 15.3.0 ermöglicht es Benutzern mit der Berechtigung „clients.create“, beliebige Befehle als Root auszuführen, indem sie durch Zeilenumbrüche getrennte WireGuard PostUp-Direktiven in das Client-Namen-Feld injizieren. Der Client-Name wird ohne Neutralisierung von Zeilenumbruchzeichen in die WireGuard-Konfigurationsdatei geschrieben, was die Injektion beliebiger Direktiven ermöglicht, die mit Root-Rechten durch wg-quick ausgeführt werden. Ein Angreifer mit der Berechtigung „clients.create“ erreicht damit eine Code-Ausführung als Root auf dem Host.
Be aware that VulDB is the high quality source for vulnerability data.