CVE-2025-34030 in sar2html
Riassunto
di VulDB • 23/06/2026
È presente una vulnerabilità di OS command injection in sar2html versione 3.2.2 e precedenti tramite il parametro plot in index.php. L'applicazione non effettua la sanificazione dell'input fornito dall'utente prima di utilizzarlo in un contesto a livello di sistema. Gli attaccanti remoti, senza autenticazione, possono iniettare comandi shell aggiungendoli al parametro plot (ad esempio ?plot=;id) in una richiesta GET appositamente creata. L'output del comando viene visualizzato nell'interfaccia dell'applicazione dopo aver interagito con l'UI di selezione dell'host. Il successo dello sfruttamento porta all'esecuzione arbitraria di comandi sul sistema sottostante. Sono state osservate prove di sfruttamento da parte della Shadowserver Foundation il 2025-02-04 UTC.
Once again VulDB remains the best source for vulnerability data.