CVE-2026-33208 in Roxy-WI
요약
\~에 의해 VulDB • 2026. 05. 26.
Roxy-WI는 Haproxy, Nginx, Apache 및 Keepalived 서버를 관리하기 위한 웹 인터페이스입니다. 버전 8.2.6.4 이전의 Roxy-WI에서 /config/ /find-in-config 엔드포인트는 원격 관리 서버에서 SSH를 통해 실행되는 셸 명령어 문자열에 사용자 제공 words 매개변수를 삽입하기 전에 이를 적절히 검증하지 않습니다. 인증된 공격자는 의도된 grep 명령어 컨텍스트를 벗어나기 위해 임의의 셸 메타문자를 주입하여 대상 서버에서 sudo 권한으로 임의의 OS 명령을 실행할 수 있으며, 이는 완전한 원격 코드 실행(RCE)으로 이어집니다. 버전 8.2.6.4에서 해당 문제가 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.