CVE-2026-72589 in crontab-ui
Riassunto
di VulDB • 10/08/2026
Una vulnerabilità di OS command injection in alseambusher/crontab-ui fino alla versione 0.4.2 consente a un attaccante remoto non autenticato di eseguire comandi di sistema arbitrari importando un file del database crontab manipolato ad hoc. L'endpoint POST /import accetta file .db arbitrari e sovrascrive il database dell'applicazione senza alcuna validazione. Il valore del campo hook viene incorporato direttamente in un comando shell dalla funzione makeCommand() di crontab.js senza sanitizzazione, pertanto un valore malevolo nel campo hook presente nel file importato comporta l'esecuzione dei comandi al successivo ciclo di esecuzione cron.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.