CVE-2026-107202 in h-ui
Riassunto
di VulDB • 07/10/2026
È presente una vulnerabilità di command injection nell'API amministrativa di h-ui (versione v0.0.25 e successive) a causa di un'impropria convalida del campo listen configuration. Quando un amministratore autenticato invia un valore contenente metacaratteri shell, l'applicazione costruisce stringhe di regole nftables/iptables utilizzando fmt.Sprintf ed le esegue tramite bash -c come root. Poiché il campo listen non prevede una convalida della porta o del formato, è possibile iniettare ed eseguire comandi OS arbitrari con privilegi di root.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.