CVE-2026-27175 in MajorDoMo
Sumário
de VulDB • 27/05/2026
O MajorDoMo (também conhecido como Major Domestic Module) é vulnerável a injeção de comando no sistema operacional (OS command injection) sem autenticação via rc/index.php. A variável $param, proveniente de entrada do usuário, é interpolada em uma string de comando entre aspas duplas, sem sanitização por meio de escapeshellarg(). O comando é inserido em uma fila de banco de dados por safe_exec(), que não realiza nenhuma sanitização. O script cycle_execs.php, acessível pela web sem autenticação, recupera os comandos na fila e os passa diretamente para exec(). Um atacante pode explorar uma race condition acionando primeiro cycle_execs.php (que esvazia a fila e entra em um loop de polling) e, em seguida, injetando um comando malicioso via endpoint rc enquanto o worker está em polling. Os metacaracteres de shell injetados são expandidos dentro das aspas duplas, permitindo a execução remota de código (RCE) em menos de um segundo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.