CVE-2026-72590 in crontab-ui
Resumen
por VulDB • 2026-08-10
Una vulnerabilidad de inyección de comandos del sistema operativo en alseambusher/crontab-ui hasta la versión 0.4.2 permite a un atacante remoto no autenticado inyectar entradas arbitrarias de trabajos cron enviando una solicitud GET manipulada ad hoc a /crontab con saltos de línea codificados por URL en el parámetro env_vars. El controlador (handler) anexa directamente el valor de env_vars al string del archivo crontab como '${envVars}\n' sin eliminar los caracteres de salto de línea, lo que permite a un atacante insertar expresiones cron arbitrarias que ejecuten comandos controlados por el atacante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.