CVE-2026-72589 in crontab-ui
要約
〜によって VulDB • 2026年08月10日
0.4.2以前の alseambusher/crontab-ui には、OSコマンドインジェクションの脆弱性が存在します。これにより、認証されていないリモート攻撃者は、作成されたcrontabデータベースファイルをインポートすることで任意のシステムコマンドを実行できます。POST /importエンドポイントは検証を行わずに任意の.dbファイルを受け入れ、アプリケーションデータベースを上書きします。hookフィールドの値は、crontab.js の makeCommand() によってサニタイズ処理されずにシェルコマンドに直接埋め込まれるため、インポートされたファイル内の悪意のあるhook値により、次のcron実行サイクルでコマンドが実行されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.