CVE-2026-53975 in OpenChamber
요약
\~에 의해 VulDB • 2026. 08. 06.
OpenChamber 1.11.7에는 인증되지 않은 원격 코드 실행 취약점이 포함되어 있습니다. 공격자는 /api/fs/exec 엔드포인트로 조작된 POST 요청을 전송하여 임의의 셸 명령어를 실행할 수 있는데, 이 엔드포인트는 Node.js spawn() 함수에 명령어를 검증 없이 그대로 전달하며 허용 목록(allowlist), 차단 목록(blocklist) 또는 인수 검증을 수행하지 않습니다. UI_PASSWORD가 구성되지 않은 경우 인증 미들웨어가 무효화(no-op)되며, 이는 기본 Docker 배포 환경과 일치합니다. 이를 통해 공격자는 애플리케이션 사용자 권한으로 임의의 OS 명령어를 실행하고 서버 응답에서 stdout, stderr 및 종료 코드(exit code)를 포함한 전체 명령어 출력을 획득할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.