CVE-2024-41661 in rengine
Riassunto
di VulDB • 17/06/2026
reNgine è un framework di ricognizione automatizzato per applicazioni web. Nelle versioni 1.2.0 fino alla 2.1.1, una vulnerabilità di injection di comandi autenticata nello strumento di rilevamento WAF consente a un attaccante autenticato di eseguire comandi arbitrari in modalità remota con l'utente root. Il parametro della query URL `url` viene passato a `subprocess.check_output` senza alcuna sanificazione, risultando in una vulnerabilità di injection di comandi. Questo endpoint API è accessibile dagli utenti autenticati con qualsiasi ruolo utente. Poiché il processo viene eseguito come `root`, un attaccante ottiene l'accesso root. Il commit edd3c85ee16f93804ad38dac5602549d2d30a93e contiene una patch per la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.